OR-ASIP-02-02 - CNI€¦ · - pág. 1 de 97 - . oficina nacional de seguridad . or-asip-02-02.04....

- Pág. 1 de 97 -

OFICINA NACIONAL DE SEGURIDAD

OR-ASIP-02-02.04

ORIENTACIONES PARA LA

INSTRUCCIÓN DE SEGURIDAD DEL

PERSONAL PARA ACCESO

A INFORMACIÓN CLASIFICADA

OFICINA NACIONAL DE SEGURIDAD INSTRUCCIÓN DE SEGURIDAD DEL PERSONAL (OR-ASIP-02-02.04)

- Pág. 2 de 97 -

ÍNDICE

1. INTRODUCCIÓN ......................................................................................................... 3

1.1. GENERALIDADES........................................................................................................... 3 1.2. CONDICIONES PARA EL ACCESO A INFORMACIÓN CLASIFICADA .................................... 3

2. OBJETO ......................................................................................................................... 3

3. ALCANCE ...................................................................................................................... 4

4. CONCIENCIACIÓN E INSTRUCCIÓN .................................................................... 4

4.1. FASES ............................................................................................................................ 4 4.2. FASE DE CONCIENCIACIÓN EN SEGURIDAD .................................................................... 4 4.3. FASE DE INSTRUCCIÓN DE SEGURIDAD .......................................................................... 5 4.3.1. Concepto .................................................................................................................. 5 4.3.2. Ámbito de aplicación y registro ............................................................................... 5 4.3.3. Responsabilidad de los jefes de seguridad en la instrucción ................................... 6

ANEXO I: CONCIENCIACIÓN DE SEGURIDAD .............................................................. 7

ANEXO II: INSTRUCCIÓN DE SEGURIDAD ................................................................... 10

ANEXO III: INSTRUCCIÓN DE SEGURIDAD CRIPTO................................................. 69

ANEXO IV: INSTRUCCIÓN DE SEGURIDAD ATOMAL .............................................. 93


- Pág. 3 de 97 -

1. INTRODUCCIÓN

1.1. Generalidades La protección de la información clasificada y su seguridad recaen, en último extremo, en las personas que la manejan, gestionan, transportan, o simplemente acceden a ella de forma accidental. En este sentido, la seguridad en el personal es la condición que se alcanza cuando se aplican un conjunto de medidas eficaces y procedimientos establecidos, para reducir a un grado mínimo aceptable el riesgo de comprometimiento de la información clasificada por causa debida exclusivamente al personal que accede a ella, ya sea de forma voluntaria, involuntaria, autorizada o sin autorización. La Autoridad Nacional para la Protección de la Información Clasificada (ANPIC) es la responsable tanto de velar por que exista la normativa de seguridad necesaria en materia de protección de la información clasificada, como de asegurar su correcto cumplimiento. Las autoridades, mandos o responsables de la custodia y correcto manejo de la información clasificada velarán por que todas las personas de su respectivo organismo o entidad que, en el cumplimiento de sus cometidos oficiales, necesiten o puedan tener acceso a información clasificada, asuman y cumplan de forma adecuada sus obligaciones en este sentido. En este marco, la instrucción de seguridad del personal es una parte fundamental, al ser su objeto el concienciar y formar a las personas que van a acceder a información clasificada, sobre las responsabilidades que se asumen, las normas por las que se rige el acceso y manejo de la misma, y las consecuencias de su no cumplimiento.

1.2. Condiciones para el acceso a información clasificada Una persona sólo podrá ser autorizada a acceder a la información clasificada de grado “CONFIDENCIAL o equivalente” o superior, cuando se cumplan conjuntamente los siguientes requisitos:

− Le ha sido concedida una habilitación personal de seguridad (HPS) adecuada. − Se ha verificado su “necesidad de conocer”. − Ha recibido la instrucción de seguridad preceptiva.

Para el acceso a información clasificada con grado de clasificación de “DIFUSIÓN LÍMITADA o equivalente” no es necesario que se disponga de HPS, aunque sí se deberán cumplir los requisitos de la necesidad de conocer y de haber recibido la instrucción sobre las responsabilidades de seguridad. 2. OBJETO Estas orientaciones se han desarrollado al objeto de que sirvan como base, a los jefes de seguridad de los órganos de control, a los responsables de seguridad de zonas de acceso restringido y a los responsables de impartir la instrucción de seguridad, en la función de instruir, sobre la protección de la información clasificada, a las personas que puedan tener acceso a la misma.


- Pág. 4 de 97 -

3. ALCANCE El presente texto servirá de referencia fundamental y de documento de apoyo al instructor, quien, a la vista del tipo de información, grado de clasificación, u otras condiciones del acceso al que se autoriza, podrá reducir su contenido, o bien añadir otros aspectos puntuales no incluidos en el mismo que estime necesarios, recurriendo para ello a la normativa de seguridad en vigor que le sea de aplicación. 4. CONCIENCIACIÓN E INSTRUCCIÓN 4.1. Fases La formación en materia de seguridad para los usuarios de información clasificada contempla dos fases, ambas necesarias y obligatorias:

− Concienciación de seguridad. − Instrucción de seguridad.

4.2. Fase de concienciación en seguridad Esta fase se encuadra dentro del proceso de solicitud de la HPS y es requisito previo para su concesión.

Todos los interesados para los que se solicita HPS deberán declarar por escrito, como requisito previo para su concesión, que entienden plenamente los siguientes conceptos:

− Las implicaciones que tiene el deber de reserva respecto a la información clasificada

a la que accederán. − Las consecuencias que las leyes contemplan en el caso de que la información

clasificada llegue a manos no autorizadas, ya sea de forma intencionada o por negligencia, por incumplimiento de la normativa para su manejo.

La evidencia de la impartición de esta concienciación previa se plasma en dos documentos complementarios:

− La declaración de concienciación de seguridad del formulario de solicitud de HPS,

firmada por el jefe de seguridad del organismo solicitante, como responsable de que se ha impartido la concienciación.

− La declaración personal del interesado (apartado 7 del formulario de declaración personal de seguridad), firmada por el propio interesado.

Para determinadas solicitudes de HPS de personal que ocupe puestos de relevancia en las organizaciones, la Oficina Nacional de Seguridad (ONS) podrá llevar a cabo la concienciación de seguridad como requisito necesario para la concesión de la HPS solicitada. En el anexo I se incluye un texto de concienciación en seguridad, como referencia para los instructores. Al finalizar la conferencia, el interesado deberá firmar el citado apartado 7 del


- Pág. 5 de 97 -

formulario de declaración personal de seguridad, que corresponde a la declaración de responsabilidad que realiza el solicitante. 4.3. Fase de instrucción de seguridad 4.3.1. Concepto Esta fase se encuadra como requisito previo para el acceso efectivo a la información clasificada. La instrucción de seguridad se define como aquellas consignas y conocimientos que deben ser impartidos a cada individuo para mantenerle informado de las amenazas contra la seguridad, hacerle consciente de sus vulnerabilidades y concienciarle de sus responsabilidades para prevenir unas y otras. La instrucción en seguridad es un proceso continuo que no permite que el sujeto se estanque en sus conocimientos y que asegura que es consciente, en todo momento, de sus responsabilidades. El sujeto debe saber qué es lo que puede hacer dentro de su organización y lo que no puede hacer, en relación con el manejo de la información clasificada. El propósito de la instrucción de seguridad es sensibilizar al individuo sobre la necesidad de la seguridad, de la interiorización de los procedimientos para llevarla a efecto y de la asunción de sus responsabilidades personales. Consecuentemente el interesado, de forma consciente, adoptará las necesarias precauciones de seguridad como parte normal de sus cometidos. En el anexo II se incluye un texto de instrucción de seguridad, como referencia para los instructores. Su contenido es general y deberá ampliarse con aquellos aspectos concretos que el responsable de seguridad instructor estime necesarios. Cuando el solicitante precise y se le autorice para solicitar la especialidad CRIPTO, deberá recibir una instrucción especial en dicha materia, con carácter previo a la concesión de la HPS, es decir, debe ser impartida a la vez o próxima a la concienciación de seguridad. En el anexo III se incluye un texto de instrucción de seguridad Cripto, como referencia para los instructores. Cuando el solicitante precise y se le autorice para solicitar la especialidad ATOMAL, deberá recibir una instrucción especial en dicha materia, con carácter previo a la concesión de la HPS, es decir, debe ser impartida a la vez o próxima a la concienciación de seguridad. En el anexo IV se incluye un texto de instrucción de seguridad ATOMAL, como referencia para los instructores. La instrucción en una especialidad exige el recibir previamente la instrucción de seguridad del anexo II. Esto significa que, el solicitante de una HPS que incluya una especialidad, como caso especial, debe recibir la instrucción de seguridad completa, junto con la de las especialidades solicitadas, antes de que se tramite el expediente de solicitud de HPS. 4.3.2. Ámbito de aplicación y registro Toda persona que ocupe un puesto con acceso a información clasificada, será instruida en los procedimientos y obligaciones de seguridad, en materia de protección de dicha información, antes de producirse dicho acceso. Cuando se ejerzan cometidos en una zona de acceso restringido, esta instrucción incluirá la parte del plan de protección de dicha zona que pueda


- Pág. 6 de 97 -

afectarle. Análogamente, cuando se maneje información clasificada en un sistema de información y comunicaciones, la instrucción incluirá los procedimientos operativos de seguridad (POS) del sistema. Debe quedar evidencia objetiva escrita, en forma de certificado de instrucción o libro de registro, de que la instrucción de seguridad previa al acceso a información clasificada ha sido impartida por una persona cualificada. El responsable del órgano de control del que dependa la persona instruida o que provea el acceso, deberá mantener dichos registros permanentemente actualizados y disponibles para su inspección, debiendo conservarlos diez (10) años. Todas las personas autorizadas a acceder a información clasificada, o que tengan que manejarla, serán alertadas, al menos una vez al año, sobre los peligros que entrañan para la seguridad las conversaciones indiscretas con personas que no tengan necesidad de conocer, su relación con los medios de comunicación y la amenaza que representan las actividades de los servicios de inteligencia extranjeros. Las personas serán advertidas de su obligación de notificar inmediatamente, a las autoridades de seguridad pertinentes, cualquier aproximación o maniobra que consideren sospechosa o fuera de lo corriente. 4.3.3. Responsabilidad de los jefes de seguridad en la instrucción La instrucción de seguridad habrá de ser impartida por personal especializado en cuestiones de seguridad o bajo la supervisión de éste, orientada en todo momento por la ONS, especialmente mediante el uso del material didáctico elaborado por esta. Los jefes de seguridad de los órganos de control son los responsables de que la formación se imparta y de guardar evidencia objetiva de que se ha llevado a efecto, así como de las instrucciones periódicas de recuerdo. La instrucción de seguridad de los jefes de seguridad de los servicios de protección y subregistros principales (o servicios centrales de protección, en algunos casos), en el ámbito de competencias de la ANPIC, será realizada directamente por parte de la ONS, para asegurar el mejor desempeño de sus funciones. Los jefes de seguridad instruidos por la ONS, serán a su vez responsables directos de impartir la instrucción de seguridad a sus suplentes en el cargo, así como a los jefes de seguridad de los órganos de control directamente subordinados, y estos a su vez de los subordinados, hasta llegar al último escalón. La ONS podrá impartir los cursos de formación a los jefes de seguridad de cualquier órgano de control, pudiendo convocar cursos de formación colectivos, con carácter de obligada asistencia. Los órganos y personas responsables de la instrucción deberán tener previstos programas periódicos de recordatorio y reciclaje en el conocimiento de estas materias. La forma de ejecución de dichos programas se adaptará a las necesidades operativas y de tiempo de los órganos afectados.


- Pág. 7 de 97 -

ANEXO I: CONCIENCIACIÓN DE SEGURIDAD

1.- DECÁLOGO DE LA PROTECCIÓN DE LA INFORMACIÓN CLASIFICADA 1. La información clasificada es aquella información o material sobre el que, conforme a los

procedimientos legales existentes al efecto, se ha decidido que requiere un grado de protección para evitar su revelación o acceso no autorizado, en base al daño o perjuicio que su divulgación puede causar a la seguridad e intereses de España o sus aliados. Dicho grado de clasificación irá marcado sobre la propia información o material.

2. Los grados de clasificación de la Información Clasificada, de mayor a menor, son: − SECRETO (son equivalentes COSMIC TOP SECRET, EU TOP SECRET, etc.). − RESERVADO (equivalentes NATO SECRET, SECRET UE, etc.). − CONFIDENCIAL (equivalentes NATO CONFIDENTIAL, CONFIDENTIEL UE,

etc.). − DIFUSIÓN LIMITADA (equivalentes NATO RESTRICTED, RESTREINT UE, etc.).

3. Toda persona que tenga conocimiento de cualquier información clasificada, voluntaria o involuntariamente, deberá mantener la oportuna reserva sobre la misma. Dicho deber de reserva no expira mientras la información afectada no sea desclasificada.

4. La divulgación no autorizada de información clasificada, el incumplimiento de la normativa para su manejo, o su uso para fines no autorizados, tendrán la consideración de delito o falta, y llevará pareja unas responsabilidades penales o disciplinarias para la persona que lo cometa, conforme al código penal o disciplinario que le afecte.

5. El acceso por un individuo a información clasificada con grado de CONFIDENCIAL o superior, requiere: − Tener concedida una habilitación personal de seguridad del grado adecuado. − Tener la “necesidad de conocer”. − Haber recibido la instrucción de seguridad preceptiva, antes de dicho acceso.

6. La información CONFIDENCIAL o superior debe circular bajo el control de los servicios de protección de información clasificada u órganos de control, que son los responsables de su registro y custodia, y de autorizar su transmisión, copia o destrucción.

7. La información DIFUSIÓN LIMITADA sólo puede ser manejada por individuos que han sido instruidos en materia de protección de la información clasificada.

8. La clasificación de información es un acto formal, y no puede ser realizada por los usuarios. Sólo pueden proponerla, y elevarla para aprobación, según el procedimiento por el que se regula.

9. La información clasificada sólo podrá ser manejada en zonas específicamente autorizadas para dicho fin. Se prohíbe su manejo fuera de las mismas, salvo en los casos de transporte autorizado (sin acceso) o de autorización expresa por el jefe de seguridad responsable.

10. En todas las instalaciones y órganos en que se maneje información clasificada existirá la figura del responsable de seguridad, que podrá ser el jefe de seguridad de un órgano de control, y que se responsabilizará del correcto manejo de la información clasificada en su ámbito de responsabilidad.

2.- LEYES QUE AMPARAN LA DISCIPLINA DEL SECRETO 2.1.- CÓDIGO PENAL (Ley Orgánica 10/1995, de 23 de noviembre, modificada por L.O. 1/2015, de 30 de marzo)


- Pág. 8 de 97 -

Artículo 277. - “Será castigado con las penas de prisión de seis meses a dos años y multa de seis a veinticuatro meses, el que intencionadamente haya divulgado la invención objeto de una solicitud de patente secreta, en contravención con lo dispuesto en la legislación de patentes, siempre que ello sea en perjuicio de la defensa nacional”.

Artículo 417 1. - “La Autoridad o funcionario público que revelare secretos o informaciones de los que tenga conocimiento por razón de su oficio o cargo y que no deban ser divulgados, incurrirá en la pena de multa de doce a dieciocho meses e inhabilitación especial para empleo o cargo público por tiempo de uno a tres años. Si de la revelación a que se refiere el párrafo anterior resultare grave daño para la causa pública o para tercero, la pena será de prisión de uno a tres años, e inhabilitación especial para el empleo o cargo público por tiempo de tres a cinco años. 2. - Si se tratara de secretos de un particular, las penas serán las de prisión de dos a cuatro años, multa de doce a dieciocho meses, y suspensión de empleo o cargo público por tiempo de uno a tres años”. Artículo 418. - “El particular que aprovechare para sí o para un tercero el secreto o la información privilegiada que obtuviere de un funcionario público o autoridad, será castigado con multa del tanto al triplo del beneficio obtenido o facilitado y la pérdida de la posibilidad de obtener subvenciones o ayudas públicas y del derecho a gozar de los beneficios o incentivos fiscales o de la Seguridad Social durante el período de uno a tres años. Si resultara grave daño para la causa pública o para tercero, la pena será de prisión de uno a seis años y la pérdida de la posibilidad de obtener subvenciones o ayudas públicas y del derecho a gozar de los beneficios o incentivos fiscales o de la Seguridad Social durante el periodo de seis a diez años”. Artículo 442. - “La autoridad o funcionario público que haga uso de un secreto del que tenga conocimiento por razón de su oficio o cargo, o de una información privilegiada, con ánimo de obtener un beneficio económico para sí o para un tercero, incurrirá en las penas de multa del tanto al triplo del beneficio perseguido, obtenido o facilitado e inhabilitación especial para empleo o cargo público y para el ejercicio del derecho de sufragio pasivo por tiempo de dos a cuatro años. Si obtuviere el beneficio perseguido se impondrán las penas de prisión de uno a tres años, multa del tanto al séxtuplo del beneficio perseguido, obtenido o facilitado e inhabilitación especial para empleo o cargo público y para el ejercicio del derecho de sufragio pasivo por tiempo de cuatro a seis años.

Si resultara grave daño para la causa pública o para tercero, la pena será de prisión de uno a seis años, e inhabilitación especial para empleo o cargo público y para el ejercicio del derecho de sufragio pasivo por tiempo de nueve a doce años. A los efectos de este artículo se entiende por información privilegiada toda información de carácter concreto que se tenga exclusivamente por razón del oficio o cargo público y que no haya sido notificada, publicada o divulgada”. Artículo 584. - "El español que, con el propósito de favorecer a una potencia extranjera, asociación u organización internacional, se procure, falsee, inutilice o revele información clasificada como reservada o secreta, susceptible de perjudicar la seguridad nacional o la defensa nacional, será castigado, como traidor, con la pena de prisión de seis a doce años". Artículo 598. - “El que, sin propósito de favorecer a una potencia extranjera, se procurare, revelare, falseare o inutilizare información legalmente calificada como reservada o secreta, relacionada con la seguridad nacional o la defensa nacional o relativa a los medios técnicos o sistemas empleados por las Fuerzas Armadas o las industrias de interés militar, será castigado con la pena de prisión de uno a cuatro años”.


- Pág. 9 de 97 -

Artículo 599. - “La pena establecida en el artículo anterior se aplicará en su mitad superior cuando concurra alguna de las circunstancias siguientes: 1º. Que el sujeto activo sea depositario o conocedor del secreto o información por razón de su cargo o destino. 2º. Que la revelación consistiera en dar publicidad al secreto o información en algún medio de comunicación social o de forma que asegure su difusión”.

Artículo 600 1- “El que sin autorización expresa reprodujere planos o documentación referentes a zonas, instalaciones o materiales militares que sean de acceso restringido y cuyo conocimiento esté protegido y reservado por una información legalmente calificada como reservada o secreta, será castigado con la pena de prisión de seis meses a tres años. 2- Con la misma pena será castigado el que tenga en su poder objetos o información legalmente calificada como reservada o secreta, relativos a la seguridad o a la defensa nacional, sin cumplir las disposiciones establecidas en la legislación vigente”. Artículo 601. - “El que por razón de su cargo, comisión o servicio, tenga en su poder o conozca oficialmente objetos o información legalmente calificada como reservada o secreta o de interés militar, relativos a la seguridad nacional o la defensa nacional, y por imprudencia grave dé lugar a que sean conocidos por persona no autorizada o divulgados, publicados o inutilizados, será castigado con la pena de prisión de seis meses a un año”. Artículo 602. - “El que descubriere, violare, sustrajere o utilizare información legalmente calificada como reservada o secreta relacionada con la energía nuclear, será castigado con la pena de prisión de seis meses a tres años, salvo que el hecho tenga señalada pena más grave en otra Ley.” Artículo 603. - “El que destruyere, inutilizare, falseare o abriere sin autorización la correspondencia o documentación legalmente clasificada como reservada o secreta, relacionadas con la defensa nacional y que tenga en su poder por razones de su cargo o destino, será castigado con la pena de prisión de dos a cinco años e inhabilitación especial de empleo o cargo público por tiempo de tres a seis años”. 2.2.- CÓDIGO PENAL MILITAR (Ley Orgánica 14/2015, de 14 de octubre) Artículo 25. - "El extranjero que, en situación de conflicto armado, se procurare, difundiera, falseare o inutilizare información clasificada como reservada o secreta o de interés militar susceptible de perjudicar a la seguridad o a la defensa nacionales, o de los medios técnicos o sistemas empleados por las Fuerzas armadas o la Guardia Civil o las industrias de interés militar, o la revelase a potencia extranjera, asociación u organismo internacional, será castigado, como espía, a la pena de diez a veinte años de prisión.

El militar español que cometiere este delito será considerado autor de un delito de traición militar y castigado con la pena prevista en el artículo anterior”. (Nota: el citado artículo 24 del Código Penal Militar indica pena de prisión de quince a veinticinco años.) Artículo 26. - "El militar que cometiere cualquiera de los delitos previstos en los artículos 277 ó 598 a 603 del Código Penal será castigado con la pena establecida en el mismo incrementada en un quinto de su límite máximo. En situación de conflicto armado o estado de sitio se impondrá la pena superior en uno o dos grados”.


- Pág. 10 de 97 -

ANEXO II: INSTRUCCIÓN DE SEGURIDAD Se adjunta un documento separable al objeto de que pueda desglosarse o copiarse como manual de instrucción del personal, separado del presente documento que es para uso exclusivo de los instructores.

- Pág. 11 de 97 -

INSTRUCCIÓN DE SEGURIDAD

INTRODUCCIÓN

OBJETO

La presente instrucción de seguridad se elabora como manual del usuario, al objeto de que pueda adquirir una formación básica, necesaria para manejar y asegurar la protección, de la información clasificada.

Por medio de esta instrucción se conciencia al individuo de la necesidad de la

seguridad, se le proporcionan los procedimientos fundamentales para llevarla a efecto y se le señalan sus responsabilidades personales respecto a ésta, de manera que, de forma consciente, adopte las necesarias precauciones de seguridad, como una parte normal de sus cometidos. Por todo ello, la instrucción deberá impartirse a los usuarios antes del acceso efectivo a la información clasificada y ser aportada por personal especializado en dicha materia (jefes de seguridad, instructores, etc.).

La instrucción en seguridad deberá tener un carácter periódico. Debe ser un proceso

continuo que no permita que el sujeto se estanque en sus conocimientos y que asegure que es consciente, en todo momento, de sus responsabilidades.

En cualquier caso, esta instrucción no es un documento completo. El personal que

trabaje habitualmente con información clasificada deberá disponer de un ejemplar actualizado de las Normas de la Autoridad Nacional para la Protección de la Información Clasificada (ANPIC), y de las Orientaciones publicadas por la Oficina Nacional de Seguridad (ONS), como herramientas habituales de trabajo.

Asimismo, cada destino y puesto tendrá sus procedimientos específicos de seguridad

que conocer y cumplir, relativos a las instalaciones de seguridad propias, procedimientos de trabajo particulares, sistemas de información y comunicaciones empleados, u otras circunstancias presentes en cada caso concreto.

DEFINICIONES BÁSICAS

Es recomendable una lectura inicial de estas definiciones, aunque en un principio no se entienda plenamente su verdadero significado. A lo largo del documentos irán surgiendo estos conceptos, y es cuando se deberá volver a este apartado para releer cada definición, ya con más atención, e intentar aprender y entender cada una de ellas; por este motivo se ha decidido exponerlas en un orden alfabético, para facilitar su búsqueda. La relación no es exhaustiva, pero contiene los conceptos que se ha considerado que había que destacar principalmente.

Acuerdo para la protección de la información clasificada. Tratado internacional ratificado por el Parlamento, firmado entre dos o más países, por medio del cual se dan garantías mutuas sobre la protección de la información clasificada que, sobre la base de dicho acuerdo, se intercambie o ceda entre las partes firmantes, obligándose estas a cumplir exactamente lo establecido en su articulado.

- Pág. 12 de 97 -

Agencia Espacial Europea (ESA). Este organismo internacional es un consorcio formado por varios países, no todos miembros de la Unión Europea, con el fin de impulsar la industria espacial en los países miembro. La ESA clasifica sus propias materias y sus estados miembros cuentan con una ANS para la protección de su información clasificada. La marca ESA junto al grado de clasificación, representa una marca propiedad de dicha Organización y que debe ser protegida de acuerdo con los criterios por ésta establecidos. Dentro de esta categoría se incluye la información originada por la ESA, originada por una nación miembro y entregada a la ESA, así como la información entregada a la ESA procedente de terceros estados u organizaciones internacionales. Autoridad Nacional de Seguridad (ANS) española. Máximo representante de la protección de la información clasificada OTAN/UE/ESA en España, cargo que es ejercido de forma conjunta por los Ministros de la Presidencia, de Asuntos Exteriores y de Cooperación y de Defensa. Autoridad Delegada para la seguridad de la información clasificada (ANS-D). Nombramiento que recae en el Secretario de Estado Director del Centro Nacional de Inteligencia (CNI). Su misión consiste en ejercer, por delegación, las funciones que le corresponden a la ANS. Vela, asimismo, por el cumplimiento de las normas adoptadas en los acuerdos bilaterales suscritos por nuestro país en materia de intercambio de materias clasificadas. Autoridad Nacional para la Protección de la Información Clasificada (ANPIC). Denominación interna de la ANS-D, en tanto figura responsable en España de la protección de la información clasificada, recayendo esta responsabilidad en el Secretario de Estado Director del CNI. C-M (2002) 49. Documento de la OTAN en el que se establece el Acuerdo entre las Partes de OTAN para la seguridad de la información, así como la política y normas básicas de seguridad para el tratamiento de la información clasificada de la Alianza. Centro Nacional de Inteligencia (CNI). Organismo del Estado que, en base lo establecido en el artículo 4º f de la Ley 11/2006 reguladora del Centro Nacional de Inteligencia, es responsable de “Velar por el cumplimiento de la normativa relativa a la protección de la Información Clasificada”. Certificado de HPS. Documento por el que se certifica que a una persona se le ha concedido una habilitación personal de seguridad (HPS). Clasificación. El acto formal por el cual se asigna a una información un determinado grado (llamado grado de clasificación), con la finalidad de protegerla, en atención al riesgo que supone su revelación no autorizada para la seguridad y defensa del Estado o sus intereses. Concienciación en seguridad. El conocimiento y comprensión, por el futuro usuario de información clasificada, de las obligaciones que se contraen, de los conceptos más básicos de protección, del deber de reserva que se adquiere y de las responsabilidades penales y disciplinarias que le son de aplicación en caso de incumplimiento. Es requisito previo para la concesión de la habilitación personal de seguridad.

- Pág. 13 de 97 -

Decisión 2011/C 190/02 (EP). Documento de la UE que establece las normas de seguridad en el tratamiento de la información clasificada en el seno del Parlamento Europeo. Decisión 2013/488/EU. Documento de la UE que establece las normas de seguridad en el tratamiento de la información clasificada en el seno del Consejo de la UE. Decisión 2013/C 190/01 (EEAS). Documento de la UE que establece las normas de seguridad en el tratamiento de la información clasificada en el seno del Servicio Europeo de Acción Exterior. Decisión 2015/444/EC (EU, Euratom). Documento de la UE que establece las normas de seguridad en el tratamiento de la información clasificada en el seno de la Comisión Europea. Documentación clasificada. Cualquier soporte que contenga información clasificada registrada, en cualquier formato físico (escrito, impreso, cinta, fotografía, mapa, dibujo, esquema, nota, soporte informático, óptico o vídeo, etc.). La más tradicional es en formato papel, aunque cada día se hace un uso más extensivo de los soportes informáticos. Grado de clasificación. La calificación concreta de seguridad que se asigna a una determinada información clasificada, dentro de los grados de clasificación de seguridad establecidos en la normativa de seguridad que le sea de aplicación a dicha información. A mayor grado, mayor el perjuicio que se derivaría de su revelación no autorizada. Habilitación personal de seguridad (HPS). La resolución positiva de la ANPIC por la que, en nombre del Gobierno del Reino de España, reconoce formalmente la capacidad e idoneidad de una persona para tener acceso a información clasificada en el ámbito y grado autorizado, al haber superado el proceso de investigación de seguridad y haber sido concienciado en el compromiso de reserva que adquiere y en las responsabilidades que se derivan de su incumplimiento, resolución que se materializa en un documento firmado por la ANPIC. Información. Todo aquel conocimiento que puede ser comunicado, presentado o almacenado en cualquier forma. Información clasificada. Cualquier información o material respecto del cual se decida que requiere protección contra su divulgación o acceso no autorizados, por el daño o riesgo que esto supondría a los intereses del Estado, y al que se ha asignado, con las formalidades y requisitos previstos en la legislación, una clasificación de seguridad. Información sensible. Cualquier información o material respecto del cual se decida que requiere protección contra su divulgación o acceso no autorizados, con independencia de que se le haya asignado o no una clasificación de seguridad. Toda información clasificada es información sensible, pero no toda la información sensible es información clasificada. Instrucción de seguridad. Aquellas consignas y conocimientos que deben ser impartidos a cada individuo para mantenerle informado de las amenazas contra la seguridad, hacerle consciente de sus vulnerabilidades y concienciarle de sus responsabilidades para prevenir unas y otras. Es obligatoria y complementaria a la concienciación de seguridad. Deberá impartirse antes de que se produzca el primer acceso a la información clasificada y repetirse de forma periódica.

- Pág. 14 de 97 -

Investigación de seguridad. Fase por la que atraviesan todas las solicitudes de HPS, en la que son investigados los datos aportados por los peticionarios. Las investigaciones son el pilar en el que se apoya la concesión o denegación de la HPS. Ley de Secretos Oficiales. Ley 9/1968, modificada por la Ley 48/78, que establece el marco de protección de las materias clasificadas españolas. Material. Cualquier documentación, pieza, equipo, sustancia, programa, desarrollo, armamento, sistema o similar, fabricado o en proceso de fabricación, que es portador de una información o constituye una información en sí mismo. Material clasificado. Cualquier material cuyo contenido o conocimiento necesite protección frente a difusión o acceso no autorizados, por el daño o riesgo que esto supondría a los intereses del Estado, y al que se ha asignado, con las formalidades y requisitos previstos en la legislación, una clasificación de seguridad. Es un concepto más amplio que el de documentación clasificada, pero menos que el de información clasificada, dado que no incluye, por ejemplo, a la información clasificada en las personas (almacenada en la mente o comunicada verbalmente). Materias objeto de reserva interna. Con precedente de uso en la “Política de Seguridad de la Información del Ministerio de Defensa”, en los acuerdos para la protección de la información clasificada con otros países y en políticas de seguridad de organizaciones internacionales, se definen como los asuntos, actos, documentos, informaciones, datos y objetos cuyo conocimiento por personas no autorizadas pueda afectar a la seguridad del Estado, amenazar sus intereses o dificultar el cumplimiento de su misión. Se clasifican en las categorías de CONFIDENCIAL y DIFUSIÓN LIMITADA, en atención al grado de protección que requieren. Este concepto se correspondería con el de información clasificada de grado CONFIDENCIAL o inferior. Materias clasificadas. Definidas en la Ley 9/68, de 5 de abril, modificada por la Ley 48/78, de 7 de octubre, sobre Secretos Oficiales, como los asuntos, actos, documentos, informaciones, datos y objetos cuyo conocimiento por personas no autorizadas pueda dañar o poner en riesgo la seguridad y defensa del Estado, y que se califican en las categorías de SECRETO y RESERVADO, en atención al grado de protección que requieren. Este concepto se correspondería con el de información clasificada de grado RESERVADO o superior. Necesidad de conocer. La determinación de que una persona requiere el acceso a información para desempeñar servicios, tareas o cometidos oficiales. Ninguna persona podrá tener acceso a información clasificada exclusivamente por razón de su cargo o posición, o por estar en posesión de una HPS, sin la preceptiva necesidad de conocer. Normas de la Autoridad Nacional para la Protección de la Información Clasificada. Desarrollo normativo con el que se regula el manejo de la información clasificada en España y se da respuesta a las obligaciones contraídas en el ámbito internacional por nuestro país con otros estados u organizaciones internacionales. Oficina de Seguridad OTAN / NATO Office of Security (NOS): Organismo de OTAN, dependiente del secretariado internacional, responsable, entre otros aspectos de la seguridad, de la protección de la información clasificada OTAN.

- Pág. 15 de 97 -

Oficina Nacional de Seguridad (ONS). Órgano de trabajo de la ANPIC, encargado de la ejecución de sus cometidos. Órganos de control. Unidades básicas, estructuradas jerárquicamente, que componen los servicios de protección de información clasificada (SPIC) y se ocupan del manejo, custodia y protección de la información clasificada. Según el origen de la información podrán ser órganos de control nacionales o internacionales. Cada órgano de control estará bajo el mando de un jefe de seguridad, que contará siempre con un suplente. Organización del Tratado del Atlántico Norte (OTAN). Organismo internacional del que España es parte desde 1982. Entre otras muchas funciones en el ámbito de defensa, tiene la facultad de clasificar sus propias materias. Los países integrantes se comprometen a proteger estas informaciones conforme a la política de seguridad de la OTAN. La marca NATO junto al grado de clasificación (en inglés o en francés), representa una marca de propiedad de la Organización Atlántica, y que aquel material o documento que la lleva debe de ser protegido según los criterios establecidos por esta organización. Dentro de esta categoría se incluye la información originada por la OTAN, originada por una nación miembro y entregada a la OTAN, o entregada por una nación miembro a otra en apoyo de un programa, proyecto o contrato OTAN. También información entregada en propiedad a la Organización Atlántica procedente de fuentes no-OTAN. Punto de control (PC). Órganos de control de menor nivel y que constituyen las unidades elementales del sistema de protección. Dependen de un subregistro, secundario o principal, a través del cual realizan todas las operaciones de recepción y envío de documentación clasificada, estando encargados de asegurar la difusión, control y protección de la información clasificada en aquellos organismos a los que sirven. Seguridad criptológica. Condición que se alcanza cuando se aplica un conjunto de medidas y procedimientos para garantizar la confidencialidad de la información clasificada mediante la utilización de métodos y materiales criptológicos durante el almacenamiento o la transmisión de la misma. Seguridad de la información. Condición que se alcanza cuando se aplica un conjunto de medidas y procedimientos establecidos para el correcto manejo de la información clasificada en todo su ciclo de vida, así como para prevenir y detectar los posibles comprometimientos de la misma, que puedan afectar a su confidencialidad, integridad o disponibilidad. Seguridad en el personal. Condición que se alcanza cuando se aplica un conjunto de medidas eficaces y los procedimientos establecidos, para reducir a un grado mínimo aceptable, el riesgo de comprometimiento de la información clasificada por causa debida exclusivamente al personal que accede a la misma, ya sea voluntaria o involuntariamente, o de forma autorizada o no. Seguridad en los sistemas de información y comunicaciones. Condición que se alcanza cuando se aplica un conjunto de medidas y procedimientos diseñados para garantizar la confidencialidad, integridad y disponibilidad de la información manejada mediante sistemas que incorporan tecnologías de la información y de las comunicaciones (TIC), así como la integridad y disponibilidad de los propios sistemas.

- Pág. 16 de 97 -

Seguridad física. Condición que se alcanza en las instalaciones cuando se aplica un conjunto de medidas de protección eficaces para la prevención de posibles accesos a información clasificada por parte de personas no autorizadas, así como para proporcionar las evidencias necesarias cuando se produzca un acceso o un intento de acceso. Servicio central de protección. Órganos de control establecidos en los diferentes departamentos ministeriales encargados de garantizar la protección de la información clasificada nacional. Salvo que la competencia se asigne a los subregistros, dicha responsabilidad también abarca a la información clasificada entregada a España por otros países en virtud de un acuerdo para la protección de la información clasificada. Servicio general de protección. Órganos de control con dependencia funcional directa de un servicio central de protección, de los que pueden depender otros órganos de control funcionalmente subordinados. Están encargados de asegurar la difusión, control y protección de la información clasificada a sus órganos de control subordinados (servicio local de protección), y a aquellos organismos a los que sirven. Servicio local de protección. Órganos de control de menor nivel y que constituyen las unidades elementales del sistema de protección. Dependen de un servicio central o general, a través del cual realizan todas las operaciones de recepción y envío de documentación clasificada, estando encargados de asegurar la difusión, control y protección de la información clasificada en aquellos organismos a los que sirven. Subregistro principal (SP). Órganos de control de nivel superior encargados de ejecutar y garantizar la protección de la información clasificada proveniente de las organizaciones internacionales de las que España forma parte, en las Administraciones Públicas, Fuerzas Armadas, organismos públicos vinculados o dependientes, y en todas aquellas otras entidades, públicas o privadas, en que se establezcan. Subregistro principal exterior: Órganos de control situados en las representaciones nacionales antes organizaciones internacionales, encargados de la recepción y entrega de la información clasificada procedente, o dirigida, respectivamente, a dichas organizaciones. Subregistro secundario (SS). Órganos de control con dependencia funcional directa de un subregistro principal, de los que a su vez pueden depender otros órganos de control funcionalmente subordinados. Están encargados de asegurar la difusión, control y protección de la información clasificada a sus órganos de control subordinados (puntos de control), y a aquellos organismos a los que sirven. Unión Europea (UE). Organismo internacional del que España forma parte y al que ha cedido parte de su soberanía en determinadas materias. Tiene capacidad para clasificar su propia información. Los países integrantes se comprometen a proteger estas informaciones conforme a su normativa de seguridad. La marca UE, o EU, junto al grado de clasificación (en inglés y en francés, conjuntamente), representa una marca de propiedad de la Unión Europea, y que aquel material o documento que la lleva debe de ser protegido según los criterios establecidos por esta organización. Dentro de esta categoría se incluye la información originada por la UE, originada por una nación miembro y entregada a la UE, así como la información entregada a la Unión procedente de terceros estados u organizaciones internacionales. Zona de Acceso Restringido (ZAR). Instalación formalmente autorizada para que se pueda

- Pág. 17 de 97 -

manejar en la misma información clasificada hasta un determinado grado y en unas condiciones de seguridad establecidas.

LA INFORMACIÓN CLASIFICADA

CONCEPTO

Información clasificada es cualquier información o material respecto del cual se decida que requiere protección contra su divulgación o acceso no autorizados, por el daño o riesgo que esto supondría a los intereses del Estado, y al que se ha asignado, con las formalidades y requisitos previstos en la legislación, una clasificación de seguridad.

La información tendrá un originador, bajo cuya autoridad o tutela la información es

producida, dentro del ámbito de una organización internacional, estado u organismo subordinado. El originador define quién ostenta la propiedad inicial de la información clasificada.

La información tendrá un propietario claramente establecido que, en este caso, es la

organización internacional, estado u organismo dueño de la información, es decir, que ostenta su propiedad. En último extremo, si no es posible determinarlo, vendrá determinado por la propia marca de clasificación de origen.

El propietario de la información es el que define las reglas por las que se rige su

manejo, en línea con la normativa aplicable, y define los criterios para que pueda producirse una transferencia de la propiedad, si admite esa posibilidad.

La información clasificada, a lo largo de todo su ciclo de vida, siempre estará asignada

a un responsable (órgano o persona) de su custodia, quien podrá variar, pero nunca dejar de existir. Dicho custodio manejará y cederá la información bajo su custodia conforme a la normativa establecida por el propietario de la información, o acordada con el mismo.

Cuando el custodio sea también quien almacena la información, podrá recibir el nombre

de depositario.

GRADOS DE CLASIFICACIÓN Y EQUIVALENCIAS

Por clasificación se entiende el acto formal por el cual la autoridad de clasificación, u órgano legislativo, asigna a una información un grado de clasificación en atención al riesgo que supone su revelación no autorizada para la seguridad y defensa del Estado o sus intereses, con la finalidad de protegerla.

En este sentido, según se determina en el artículo 2 de la Ley de Secretos Oficiales,

tendrán también carácter de información clasificada, sin necesidad de previa clasificación por una autoridad de clasificación, las materias que así sean declaradas por Ley.

La clasificación se puede aplicar sobre un asunto o tema más o menos general, o sobre

una documentación o material no documental concreto. En cualquier caso, la autoridad de

- Pág. 18 de 97 -

clasificación, u órgano legislativo, deberá sopesar, asesorado por personal experto en el tema, las implicaciones que dicha clasificación conlleva respecto a la complejidad del manejo y protección de la información una vez clasificada, en aras de evitar por todos los medios la posible sobreclasificación de la información.

Una vez aprobado por la autoridad u órgano legislativo correspondiente, el grado de

clasificación de la información no podrá cambiarse, reducirse ni eliminarse sin un nuevo acto formal por parte de dicha autoridad u órgano, salvo que en el acto de su clasificación inicial se indique que el grado de clasificación de la información puede reducirse o eliminarse en cierta fecha o ante ciertos eventos.

El sistema de clasificación de seguridad de la información, sea nacional o sea

internacional (OTAN/UE/ESA principalmente), indica la sensibilidad de la información y, en consecuencia, determina el grado de protección y la entidad de las medidas de seguridad que la información requiere.

Las clasificaciones de seguridad se aplican a la información para indicar el posible daño

que causaría a la seguridad nacional, o de la OTAN, de la UE, de la ESA o de sus naciones miembros, la revelación no autorizada de la misma.

Las clasificaciones de seguridad, nacional e internacionalmente, se establecen en cuatro

grados fundamentales, con una equivalencia en la mayoría de los estados y organizaciones internacionales de ámbito occidental.

El originador de la información es responsable de aplicar los criterios de clasificación

definidos en una norma de ley, directiva o diligencia/guía de clasificación, al proponer la clasificación de seguridad de una información.

Una vez asignado el grado de clasificación a una determinada información, se marcará

sobre el soporte de la misma, de forma adecuada y claramente visible, y se registrará en un órgano de control competente para el grado de clasificación.

En relación con la información clasificada española, a continuación se relacionan sus

grados y las consecuencias de su revelación no autorizada:

- SECRETO: Se aplicará a la información que precise del más alto grado de protección, toda vez que su revelación no autorizada o utilización indebida, pudiera dar lugar a una amenaza o perjuicio extremadamente grave para la seguridad del Estado, o pudiera comprometer los intereses fundamentales de la nación en materia referente a la defensa nacional, la paz exterior o el orden constitucional.

- RESERVADO: Se aplicará a la información que precise de un alto grado de protección, toda vez que su revelación no autorizada o utilización indebida, pudiera dar lugar a una amenaza o perjuicio grave a los referidos intereses de España.

- CONFIDENCIAL: Se aplicará a la información cuya revelación no autorizada o utilización indebida, pudiera dar lugar a una amenaza o perjuicio a los intereses de España.

- DIFUSIÓN LIMITADA: Se aplicará a la información cuya revelación no autorizada o utilización indebida, pudiera ser contraria a los intereses de España.

- Pág. 19 de 97 -

El originador de la información es responsable de aplicar los criterios de clasificación definidos en una norma de ley, directiva o diligencia/guía de clasificación, al proponer la clasificación de seguridad de una información.

Las clasificaciones de seguridad, internacionalmente, se establecen normalmente en

cuatro grados fundamentales, con una equivalencia en la mayoría de los estados y organizaciones internacionales de ámbito occidental. A continuación se relacionan en una tabla explicativa los grados de clasificación más frecuentes y sus equivalencias según los organismos propietarios:

ESPAÑA (*) OTAN UE ESA SECRETO

(S) COSMIC TOP SECRET

(CTS) EU TOP SECRET / TRES SECRET UE

(TS-UE) ESA TOP SECRET

(ESA TS) RESERVADO

(R) NATO SECRET

(NS) SECRET UE/EU SECRET

(S-UE/EU-S) ESA SECRET

(ESA S) CONFIDENCIAL

(C) NATO CONFIDENTIAL

(NC) CONFIDENTIEL UE/EU CONFIDENTIAL

(C-UE/EU-C) ESA CONFIDENTIAL

(ESA C) DIFUSIÓN LIMITADA

(DL) NATO RESTRICTED

(NR) RESTREINT UE

(R-UE/EU-R) ESA RESTRICTED

(ESA R)

----- NATO UNCLASSIFIED LIMITE UE ESA UNCLASSIFIED

* Tanto CONFIDENCIAL como DIFUSIÓN LIMITADA se denominan “materias de reserva interna”. SECRETO y RESERVADO se consideran materias clasificadas en sentido estricto.

La información marcada como NATO UNCLASSIFIED, LIMITE UE y ESA

UNCLASSIFIED es información que no lleva una clasificación de seguridad, sino una marca de propiedad que indica que dicha información no puede ser difundida sin restricciones, ya que sólo debe ser utilizada para propósitos oficiales y sólo pueden acceder a ella personas u organizaciones que la requieran para propósitos relacionados con la OTAN.

A efectos prácticos, en adelante se utilizará la nomenclatura española del grado de clasificación seguido de la expresión “o equivalente” (por ejemplo, “RESERVADO o equivalente”) para referirse a cuestiones que son comunes a todos los tipos de información (nacional, OTAN, UE, ESA, etc.) de grado equivalente.

Asimismo, se utilizará la expresión “equivalente a CONFIDENCIAL” o el grado que

corresponda, para referirse a información clasificada, exceptuada la nacional.

MARCAS DE CLASIFICACIÓN

Los grados de clasificación estampillados sobre un determinado material clasificado, se denominan marcas de clasificación. La forma de realizar el estampillado se hará conforme a la normativa específica que lo regule. Como norma general, en los documentos, la marca de clasificación figurará en el encabezamiento y en el pie de cada página, diapositiva, gráfico o elemento que conforme dicho documento.

La marca de clasificación normalmente consta de diferentes partes, siendo las

principales las que se indican a continuación, y que no siempre están explícitamente presentes, salvo el grado, que es obligatorio. En este contexto, se entenderá por:

- Pág. 20 de 97 -

− TIPO: es el ámbito de origen al que pertenece la información, es decir, la

organización o estado propietario de la información clasificada. Por ejemplo, NATO, UE, NACIONAL (esta última suele ir implícita en el GRADO, por tener un idioma o nombres específicos).

− GRADO: la clasificación de seguridad de la información. Por ejemplo RESERVADO.

− ESPECIALIDAD: determinadas informaciones pertenecen a ámbitos más concretos que exigen una especial preparación y control más exhaustivo. Por ejemplo: ATOMAL, CRIPTO.

La documentación clasificada elaborada por organizaciones internacionales, o

proporcionada a éstas por los estados miembros, debe mantenerse, en lo posible, en los idiomas y formatos oficiales. Las marcas de clasificación siempre se conservarán en su formato e idioma originales. En caso de que sea preciso realizar traducciones, se tratarán conforme se indica más adelante.

La documentación clasificada elaborada por los estados soberanos, como originadores y

propietarios de la misma, se difunde con su grado y marca de clasificación nacional. Cuando se reciba en España, se le asignará la protección equivalente, con las particularidades que en un acuerdo para la protección de información clasificada puedan haberse establecido. Normalmente, al llegar a España, se marcarán adicionalmente los documentos en su primera página con la marca del grado equivalente en España, de forma que se le aporte dicha protección. Este remarcado tiene el objeto de facilitar la labor a los destinatarios, pero en ningún caso supondrá una modificación en la propiedad de la información ni de las limitaciones de difusión previamente establecidas.

La información clasificada podrá estar sujeta a determinadas limitaciones en su

utilización cuando, de forma expresa, se haya definido en la normativa de seguridad aplicable. Para ello se hará uso de marcas adicionales de limitación, estampilladas en la forma que se regule en la normativa específica de aplicación, a continuación o bajo la marca de clasificación de seguridad (y marca de categoría especial, si la hubiera).

En las marcas de limitación normalmente se indican los destinatarios, organismos o

estados autorizados (por ejemplo, “Releasable to EU and CHILE”), aunque también pueden referirse a canales autorizados (por ejemplo, “Releasable for Internet Transmission”).

Es competencia del originador, en el momento de la clasificación, establecer las

limitaciones iniciales de difusión. El propietario podrá, en cualquier momento, modificar dichas limitaciones.

CAPACIDAD PARA CLASIFICAR

Con independencia de la facultad que confiere la Ley de Secretos Oficiales de poder declarar por ley una información como clasificada, la capacidad para clasificar es exclusiva de las autoridades de clasificación, pudiendo únicamente delegarse dicha capacidad cuando la normativa de seguridad aplicable así lo contemple.

- Pág. 21 de 97 -

Ámbito nacional

En el ámbito nacional, la facultad para clasificar de SECRETO y RESERVADO corresponde, por ley, al Consejo de Ministros y a la extinta Junta de Jefes de Estado Mayor, no pudiendo ser transferida ni delegada. La Ley de Secretos Oficiales no contempla grados de clasificación inferiores, por lo que éstos se definen y rigen por normativa de desarrollo de dicha Ley.

Tendrán facultad para clasificar de CONFIDENCIAL o DIFUSIÓN LIMITADA las

siguientes autoridades en el ámbito de su competencia, pudiendo delegar oficialmente dicha atribución:

a) Presidente y Vicepresidente del Gobierno b) Los Ministros, Secretarios de Estado y Subsecretarios en sus respectivos

Departamentos. c) Jefe del Estado Mayor de la Defensa. d) Jefe del Estado Mayor del Ejército. e) Almirante Jefe del Estado Mayor de la Armada. f) Jefe del Estado Mayor del Ejército del Aire. g) Presidente del Consejo de Seguridad Nuclear. Las autoridades de clasificación tendrán las siguientes atribuciones: a) Aprobar o desestimar las propuestas de clasificación. b) Emitir la diligencia de clasificación. c) Modificar el grado de clasificación de la información o su plazo de vigencia. d) Disponer las directivas de clasificación. e) Delegar la facultad de clasificación, si está autorizado.

Ámbito de organizaciones internacionales

Las organizaciones internacionales establecen en su normativa la necesidad de seguir unos criterios restrictivos al asignar esta función y delegan la responsabilidad de designar a las autoridades de clasificación en los responsables de los componentes militares y agencias (caso de OTAN), o en los directores generales (caso del Consejo de la UE, Comisión Europea o Agencia Espacial Europea), y en los propios estados miembros. No establecen diferencias en este sentido en cuanto al grado de clasificación.

En este sentido, en España como estado miembro, las autoridades de clasificación para

estos ámbitos han de ser las mismas que las establecidas en el ámbito nacional para cada grado de clasificación equivalente, y con las mismas prerrogativas de delegación.

PROCEDIMIENTO DE CLASIFICACIÓN

Toda información que se considere que deba ser protegida de revelación no autorizada y de la que no exista una norma de ley, directiva o diligencia, previa, que la clasifique, deberá someterse a un proceso de clasificación mediante la confección de la correspondiente propuesta de clasificación, que será presentada a la autoridad de clasificación, al objeto de obtener su aprobación mediante la emisión de la correspondiente diligencia de clasificación.

- Pág. 22 de 97 -

La propuesta de clasificación es el documento por el que se somete a aprobación por

la autoridad de clasificación correspondiente, la asignación de un grado de clasificación a informaciones individuales o agrupadas en un conjunto, así como su vigencia. Puede ir acompañada de una guía de clasificación.

La diligencia de clasificación es el documento por el que se certifica la aprobación, por

la autoridad de clasificación, de una propuesta de clasificación y se definen las condiciones de aplicación.

La guía de clasificación es el documento que enumera y describe los elementos

clasificados de un asunto, contrato o programa clasificado, con especificación de los grados de clasificación asignados a cada uno de ellos. Recoge los datos relevantes de la información clasificada (los grados de clasificación asignados, las vigencias de las clasificaciones, las autoridades facultadas que la han clasificado, etc.), y sirve de referencia para el marcado de los documentos.

La directiva de clasificación es el documento mediante el cual la autoridad de

clasificación asigna un grado de clasificación a la información que, por su naturaleza, y a juicio de la citada autoridad, no requiera la elaboración de la propuesta de clasificación, constituyéndose formalmente en diligencia de clasificación.

Cuando exista una directiva de clasificación, o guía de clasificación ya aprobada en una

anterior diligencia de clasificación, que sea pertinente a la información que se propone para su clasificación, el procedimiento se simplifica, bastando con su anotación en el libro de registro de información clasificada y su marcado.

Toda información clasificada deberá llevar su marca de grado de clasificación

estampillada o unida a la misma, salvo imposibilidad física u operativa derivada de las características del material o del uso previsto.

Toda información registrable que se marque como clasificada, sólo adquirirá

formalmente dicho carácter cuando esté correctamente anotada en un registro, para su distribución posterior.

No obstante, los borradores, copias previas, anotaciones, grabaciones en soportes u otra

información adicional que se puedan haber generado previamente para obtener la versión final registrable, tendrán también la consideración de información clasificada, y deberán ser destruidos en plazo breve con procedimientos aprobados para el grado de clasificación de que se trate. En tanto no se produzca su destrucción, se les dará la protección adecuada conforme a su grado de clasificación, aunque no estén marcados.

La información clasificada originada en España se constituirá como información

clasificada nacional y, por tanto, se propondrá su clasificación conforme a los grados de clasificación establecidos en España, con independencia del destinatario. De este modo se indica de forma explícita que España es la propietaria y originadora de esa información clasificada.

Sólo se harán propuestas de uso de marcas de clasificación no nacionales cuando se

elabore información clasificada en el marco de una operación, programa, proyecto, u otra

- Pág. 23 de 97 -

colaboración específica. En este caso, la información deberá elaborarse conforme a los requisitos establecidos en el acuerdo para la protección de información clasificada aplicable, en cuanto a idiomas oficiales admitidos, criterios de marcado, identificación de documentos, paginado, etc.

Los mensajes o escritos de remisión, que acompañan a documentos anexos clasificados

con marcas de clasificación no nacionales que tienen su entidad propia, pueden ir en idioma diferente, no debiendo contener información clasificada. Aunque lleven la clasificación que les corresponda por agregación, dicha marca incluirá una indicación de que el citado escrito no constituye información clasificada cuando se separe de los anexos.

AGREGACIÓN DE DOCUMENTOS

La clasificación de seguridad de un documento que se haya constituido por agregación de varios, corresponderá como mínimo al grado de clasificación que tenga el componente con clasificación más alta. Dicha clasificación deberá figurar en la cubierta del documento y cada parte componente conservará su clasificación inicial, para facilitar las decisiones relativas a nuevas difusiones de secciones independientes.

USUARIO DE LA INFORMACIÓN CLASIFICADA

El usuario es la persona que, en el cumplimiento de sus cometidos oficiales, tiene que acceder a la información clasificada y, en consecuencia, está debidamente autorizado por su organismo o entidad y cumple los requisitos de acceso.

La condición de usuario no implica ningún derecho o prerrogativa especial sobre la

propiedad de la información clasificada. El usuario tendrá la custodia de la información clasificada, en tanto esté asignada a su cargo.

El usuario asume las siguientes responsabilidades: − Dar la adecuada protección a la información clasificada a su cargo. − Conocer y cumplir la normativa nacional y las normas específicas de seguridad de su

organismo o entidad, referentes a la protección de la información clasificada. − Mantener la debida reserva ante terceros sobre su condición de titular de una

habilitación de seguridad. − No manejar información clasificada al margen de los canales oficialmente

establecidos (estructura nacional de protección). − Cooperar con el jefe de seguridad del órgano de control de su organismo o entidad

en todo aquello que se relacione con la seguridad de la información clasificada en su puesto de trabajo, en su entorno laboral y en las actividades y foros en que intervenga.

− Mantener la reserva sobre la información clasificada a la que tuvo acceso, incluso una vez haya caducado su habilitación de seguridad.

- Pág. 24 de 97 -

ACCESO A LA INFORMACIÓN CLASIFICADA

El acceso de un usuario a la información clasificada se realizará conforme a las condiciones que se indican en la norma NS/02 de la ANPIC, donde se definen, y que básicamente se resumen en que, se podrá autorizar dicho acceso si el usuario cuando:

− tiene concedida una habilitación personal de seguridad (HPS) adecuada, si el acceso

es a información clasificada de grado “CONFIDENCIAL o equivalente” o superior, − se ha determinado su “necesidad de conocer”, y − ha recibido la instrucción de seguridad preceptiva. En cualquier caso, el jefe o responsable del organismo o entidad tiene la potestad de no

autorizar el acceso, aun cuando se den las condiciones necesarias anteriores, si estima o aprecia que pueda existir un riesgo no aceptable para la seguridad de la información.

Las personas que sólo necesiten acceder a información con clasificación “DIFUSIÓN

LIMITADA o equivalente” deberán haber sido instruidas en sus responsabilidades de seguridad y habrán de tener “necesidad de conocer”. No se necesitará HPS para acceder a la información con clasificación de dicho grado.

INFORMACIÓN CLASIFICADA NACIONAL

La normativa reguladora de las materias clasificadas en nuestro país está recogida en la Ley 9/1968, modificada por la Ley 48/78, sobre Secretos Oficiales, en adelante LSO, y en su Decreto de desarrollo 242/1969.

Esta normativa prevé la existencia en los departamentos ministeriales de los servicios

de protección de información clasificada, como unidades centrales o dependencias afectas a los ministros respectivos para la protección de la información clasificada. Entre los cometidos que se asigna a estas unidades está el de elaborar las condiciones de seguridad específicas del ministerio y constituir los procedimientos adecuados.

En consecuencia, la LSO impone que en todo organismo o entidad, el jefe sea el

responsable de la adecuada protección de la información clasificada, tanto en su custodia como en su manejo. Para asegurar el cumplimiento de sus cometidos en este aspecto, deberá disponer de los medios y recursos adecuados, es decir, de una estructura funcional y orgánica responsable de la ejecución de dicha protección.

La LSO define los principios básicos para la adecuada protección de la información

clasificada. Entre otros se destaca:

- Las materias clasificadas serán calificadas en las categorías de SECRETO y RESERVADO en atención al grado de protección que se requiera.

- La clasificación corresponderá exclusivamente, en la esfera de su competencia, al Consejo de Ministros y a la Junta de Jefes de Estado Mayor. Esta facultad de clasificación no podrá ser transferida ni delegada.

- También constituirá materia clasificada aquella que así se determine por Ley.

- Pág. 25 de 97 -

- Las clasificaciones, en cualquiera de sus grados, se conferirán mediante un acto formal y con los requisitos y materializaciones que reglamentariamente se determinen.

- Las materias clasificadas llevarán consigo una anotación en la que conste esta circunstancia y la calificación que les corresponda.

- Las personas facultadas para tener acceso a una materia clasificada quedarán obligadas a cumplir con las medidas y prevenciones de protección que reglamentariamente se determinen, así como las particulares que para cada caso concreto puedan establecerse.

- Corresponde al Consejo de Ministros y a la Junta de Jefes de Estado Mayor conceder en sus respectivas dependencias las autorizaciones para el acceso a las materias clasificadas, así como para su desplazamiento fuera de las mismas.

- A toda persona que tenga acceso a una materia clasificada se le hará saber la índole de la misma con las prevenciones oportunas.

- El Consejo de Ministros y la Junta de Jefes de Estado Mayor atenderán al mantenimiento y mejora de los sistemas de protección y velarán por el efectivo cumplimiento de cuanto se dispone en LSO y en especial por la correcta aplicación de las clasificaciones de SECRETO o RESERVADO y porque se promuevan las acciones penales, las medidas disciplinarias y los expedientes administrativos para corregir las infracciones a esta Ley. Aunque la Ley de Secretos Oficiales no contempla las materias clasificadas por otras

naciones, la CONSTITUCIÓN ESPAÑOLA, promulgada en el año 1978, otorga validez en el ordenamiento legal interno a cuantas disposiciones se contengan en tratados y acuerdos internacionales suscritos por España, al establecer en el artículo 96.1 que “los tratados internacionales válidamente celebrados, una vez publicados oficialmente en España, formarán parte del ordenamiento interno…”. En coherencia con dicho artículo, la legislación española sobre materias clasificadas es directamente aplicable a las materias clasificadas según tratados o acuerdos firmados por España y otras naciones.

El artículo 4 f) de la ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de

Inteligencia (CNI), asigna a este Centro la función de “Velar por el cumplimiento de la normativa relativa a la protección de la Información Clasificada”.

Esta labor de tutela que la citada Ley confiere al CNI, obliga a establecer unos

parámetros de referencia comunes a todo el ámbito nacional, aplicables a las condiciones de seguridad y procedimientos para la protección de la información clasificada. Dichos parámetros comunes deberán ser recogidos en las políticas individuales de cada uno de los departamentos ministeriales, de forma que estas sean uniformes y mutuamente compatibles tanto en el ámbito nacional como en el internacional.

A este respecto, las Normas de la Autoridad Nacional para la Protección de la

Información Clasificada, promulgadas por la ANPIC, pretenden cubrir dichos aspectos. Si a ello se une el valor añadido de que estos parámetros de referencia se adaptan a los estándares internacionales, con el uso de estas Normas se habrá conseguido un beneficio en cuanto a economía de medios, personal y procedimientos, que redundará en una mayor eficacia y eficiencia de estos servicios de protección, y en cuanto a interoperabilidad en todos los ámbitos.

- Pág. 26 de 97 -

INFORMACIÓN CLASIFICADA INTERNACIONAL Organizaciones internacionales

La pertenencia de España a organizaciones internacionales como la Organización del Tratado del Atlántico Norte (OTAN), la Unión Europea (UE) o la Agencia Espacial Europea (ESA) obliga a la asunción de las políticas y acuerdos de seguridad de cada una de ellas, mediante la ratificación por España de tratados internacionales sobre seguridad de la información.

Estas políticas obligan a que en cada país miembro exista una autoridad nacional de

seguridad (ANS), como figura responsable de garantizar el cumplimiento de la normativa de seguridad derivada de las citadas políticas y acuerdos.

En España, mediante Acuerdo de Consejo de Ministros de 21 de mayo de 2012, basado

en los precedentes acuerdos de Consejo de Ministros de 1982, 2002 y 2005, se designa Autoridad Nacional de Seguridad para la protección de la información clasificada originada por la OTAN, la UE y la ESA a los Ministros de la Presidencia, de Defensa y de Asuntos Exteriores y de Cooperación, de forma conjunta, quienes por Acuerdo de Consejo de Ministros, delegan dicha función en el Secretario de Estado Director del Centro Nacional de Inteligencia.

Con la finalidad de implementar dichas políticas y acuerdos de seguridad, surge la

necesidad de establecer una estructura que garantice la adecuada protección de la información clasificada que estas organizaciones internacionales confían a España, y que permita que la información sea gestionada y manejada de forma segura. La estructura se basa en la existencia de una serie de servicios de protección de información clasificada internacional, con idénticas misiones y cometidos que los servicios de protección para la información clasificada nacional. Estos servicios de protección dependerán funcionalmente de la ANPIC.

Siempre que ha sido posible, se ha procurado que esta estructura se integre con la de

protección a nivel nacional, aunque pueden existir casos en los que haya estructuras independientes.

Por iguales criterios prácticos de unificación, se ha adoptado la denominación de

Autoridad Nacional para la Protección de la Información Clasificada (ANPIC), en la esfera nacional referida al Secretario de Estado Director del CNI, como ejecutor de la misión asignada en la Ley 11/2002. Por este motivo, a lo largo de esta instrucción, se utiliza la expresión ANPIC.

Acuerdos para la protección de la información clasificada

Un acuerdo para la protección de la información clasificada es un tratado internacional ratificado por el Parlamento, firmado entre dos o más países, por medio del cual se dan garantías mutuas sobre la protección de la información clasificada que, sobre la base de dicho acuerdo, se intercambie o ceda entre las partes firmantes, obligándose estas a cumplir exactamente lo establecido en su articulado.

El Gobierno ha venido facultando al Secretario de Estado Director del CNI para

negociar con otros estados, en nombre del Reino de España, los acuerdos para la protección de

- Pág. 27 de 97 -

la información clasificada. Estos acuerdos se negocian sobre la base de las presentes Normas y en ellos se define la

existencia de una figura responsable de la aplicación de lo establecido en aquellos. Esta responsabilidad se hace recaer, en el caso de España, en la ANPIC.

Los acuerdos se constituyen en tratados internacionales de obligado cumplimiento

interno al entrar a formar parte de la legislación española, y son fuente de obligaciones internacionales por cuanto España se compromete a custodiar la información clasificada recibida conforme a los términos establecidos.

En España, la protección de la información clasificada perteneciente a otros países se

efectuará a través de los servicios de protección de información clasificada internacional. No obstante, cuando así se estime oportuno y con autorización expresa de la ANPIC, estas competencias podrán ser asumidas por los servicios de protección de la información clasificada nacional.

NORMAS DE LA AUTORIDAD NACIONAL

Las Normas de la ANPIC pretenden dar respuesta a todas las necesidades de protección de la información clasificada en todos los ámbitos, estructurándose, en seis normas diferentes pero complementarias:

– La protección de la información clasificada en España (NS/00), mediante la que se

exponen los principios básicos sobre la información clasificada y su forma de protegerla en España.

– Estructura nacional de protección de la información clasificada (NS/01), mediante la

que se establecen los requisitos orgánicos y funcionales necesarios para que en un organismo o entidad se maneje información clasificada.

– Seguridad en el personal (NS/02), mediante la que se exponen todos los

requerimientos para el acceso a la información clasificada y, especialmente las vicisitudes referidas a la Habilitación Personal de Seguridad (HPS).

– Seguridad física (NS/03), mediante la que se establecen las medidas requeridas en

las zonas donde se maneje información clasificada, de forma que se controlen los accesos autorizados a dicha información y se impidan los no autorizados.

– Seguridad de la información (NS/04), mediante la que se establece la forma en la

que se ha de manejar la información clasificada. – Seguridad en los sistemas de información y comunicaciones (NS/05), mediante la

que se establecen los requisitos que debe reunir un sistema de información y comunicaciones para poder manejar en él información clasificada.

– Seguridad industrial (NS/06), mediante la que se especifican los especiales

requerimientos, en el ámbito industrial, para el manejo de la información clasificada como consecuencia del desarrollo de contratos, proyectos o programas clasificados.

- Pág. 28 de 97 -

ESTRUCTURA NACIONAL DE PROTECCIÓN DE LA INFORMACIÓN CLASIFICADA

CONSTITUCIÓN

La estructura nacional de protección de la información clasificada es el conjunto de todos los órganos y servicios que se ocupan de la protección de la información clasificada manejada en España, sea nacional o internacional.

Relación funcional (titular o delegada) Tutela sobre aplicación de la normativa Flujo documental IC nacional Flujo documental IC internacional

Ministerio, organismo o entidad Autoridad Nacional para la

Protección de la Información Clasificada (ANPIC)

Oficina Nacional de Seguridad

(ONS)

Servicio central de protección de IC

(SCPIC)

Registro de información clasificada nacional

Registro Central

Subregistro principal (SP)

Autoridades de Seguridad Designadas

(ASD)

Área de seguridad de la información

clasificada en el ámbito de la empresa

SPIC nacional

SPIC internacional

Servicio local de protección de IC

(SLPIC)

Servicio general de

protección de IC (SGPIC)

Punto de control (PC)

Subregistro secundario (SS)

- Pág. 29 de 97 -

Forman parte de la estructura nacional de protección de la información clasificada: − La Autoridad Nacional para la Protección de la Información Clasificada (ANPIC). − La Oficina Nacional de Seguridad (ONS). − El Registro Central. − Los servicios de protección de información clasificada (SPIC), con sus órganos de

control subordinados e instalaciones separadas constituidas como zonas de acceso restringido (ZAR) dependientes.

− Las Autoridades de Seguridad Designadas (ASD) Esta estructura está organizada, dentro de cada tipo de información (nacional o

internacional), de forma piramidal, basada en los órganos de control (ver diagrama a continuación).

Podrán constituirse ZAR en que se maneje información clasificada sin que tengan que

ser un órgano de control. No obstante, estas ZAR dependerán siempre de un órgano de control y contarán con un responsable de seguridad.

AUTORIDAD NACIONAL PARA LA PROTECCIÓN DE LA INFORMACIÓN CLASIFICADA (ANPIC)

En virtud de lo señalado en la Ley 11/2002 y Acuerdos de Consejo de Ministros por los que se designa a la Autoridad nacional de Seguridad y su Autoridad delegada, la ANPIC es la figura responsable en España de la protección de la información clasificada, recayendo esta responsabilidad en el Secretario de Estado Director del Centro Nacional de Inteligencia (SEDCNI).

Con carácter general tiene asignadas las siguientes funciones: a) Velar por el cumplimiento de la legislación y normativa de desarrollo relativa a la

protección de la información clasificada. b) Elaborar y aprobar las normas de desarrollo para la protección de la información

clasificada. c) Valorar la idoneidad de las personas que deban tener acceso a la información

clasificada y emitir el correspondiente certificado en forma de Habilitación Personal de Seguridad (HPS).

d) Autorizar el establecimiento o disolución de los servicios de protección de información clasificada internacionales y el de los nacionales bajo su responsabilidad funcional directa, así como de los órganos de control que los componen.

e) Valorar la idoneidad de las entidades privadas que deban tener acceso a información clasificada, en función de un programa, contrato o actividad clasificada, emitiendo el correspondiente certificado en forma de Habilitación de Seguridad de Empresa (HSEM) y de Establecimiento (HSES).

f) Certificar ante los países u organismos nacionales o internacionales, cuando así lo soliciten, la idoneidad para acceder o manejar información clasificada de organismos, entidades públicas o privadas y personas.

g) Garantizar que se realizan las correspondientes inspecciones periódicas sobre las medidas de seguridad para la protección de la información clasificada.

- Pág. 30 de 97 -

h) Aprobar los planes de protección. i) Relacionarse, en nombre del Gobierno de España, con las autoridades competentes

de las organizaciones internacionales y de otros países, para los temas relacionados con la protección de la información clasificada.

j) Designar los representantes españoles en los comités y grupos de trabajo de las organizaciones internacionales encargados de la protección de la información clasificada.

k) Negociar los Acuerdos para el intercambio de información clasificada con otros países u organizaciones internacionales.

l) Autorizar los sistemas CIS que deban manejar información clasificada. En el ámbito específico de la seguridad industrial, la ANPIC podrá nombrar autoridades

de seguridad designadas (ASD) las cuales se encargarán de la implementación correcta de la política de seguridad industrial. Normalmente, el ámbito de competencia de una ASD será el ministerial. Estas ASD estarán bajo la dependencia funcional de la ANPIC y responderán ante ella de sus actuaciones. En ausencia de ASD, esta función será realizada por la propia ANPIC.

OFICINA NACIONAL DE SEGURIDAD

La Oficina Nacional de Seguridad (ONS) es el órgano de trabajo de la ANPIC y, asume las siguientes funciones:

a) Ejecutar los cometidos y decisiones de la ANPIC b) Dirigir, controlar y supervisar la actuación de los servicios de protección de

información clasificada (SPIC). c) Inspeccionar los SPIC, e indicar las medidas de seguridad preventivas y correctivas

que deban ser adoptadas. d) Promocionar, orientar y supervisar el cumplimiento de la normativa relativa a la

protección de la información clasificada en cualquier ámbito. e) Participar en representación de España en los Comités de Seguridad de los diferentes

organismos y organizaciones internacionales. f) Elaborar las normas de desarrollo para la protección de la información clasificada. g) Difundir la normativa y procedimientos de seguridad, y exigir el cumplimiento de

las obligaciones derivadas de los tratados para la protección de la información clasificada suscritos por España.

REGISTRO CENTRAL

Es el órgano, encuadrado orgánicamente en la ONS, responsable de velar por que dentro de la estructura nacional de protección de la información clasificada internacional se lleve a cabo de forma correcta la recepción, registro, archivo, distribución y remisión de la información.

El Registro Central tiene las siguientes funciones: a) Llevar a cabo la recepción, registro, control, archivo, distribución y remisión de la

documentación clasificada de ámbito internacional entregada a España, que se reciba a través, o con el concurso, de dicho Registro Central.

- Pág. 31 de 97 -

b) Realizar el registro, seguimiento y control exhaustivo de los documentos de grado “equivalente a SECRETO” que entren en la estructura nacional de protección de la información clasificada, con independencia del canal por el que se cursen. Dará las instrucciones precisas, y establecerá los procedimientos, para que cualquier órgano de control destinatario que reciba este tipo de documentación lo comunique formalmente, con la mayor brevedad, por los conductos funcionales reglamentarios, conociendo su localización exacta en todo momento.

c) Realizar el inventario anual de los documentos de grado “equivalente a SECRETO” presentes en el sistema de registro en España, para su remisión a las oficinas de seguridad de las organizaciones internacionales originadoras y propietarias, en las fechas y con los criterios que rijan para cada caso.

d) Estar informado de cualquier comprometimiento o infracción de seguridad detectados en la recepción, registro, archivo, distribución y remisión de la documentación clasificada de grado “equivalente a CONFIDENCIAL” o superior, o con limitaciones especiales, ocurrido en un órgano de control.

e) Controlar los datos de contacto y las relaciones de firmas reconocidas de los subregistros principales, así como de aquellos servicios centrales de protección de información clasificada con los que se relaciona.

f) Mantener al día la relación de registros extranjeros con los que se mantenga intercambio documental, así como los datos de contacto y firmas reconocidas de sus responsables.

g) Planificar y ejecutar la transmisión por medios tecnológicos y el transporte de documentos clasificados que entren o salgan de la estructura nacional a través del Registro Central.

h) Dirigir la actividad de los correos oficiales españoles que realizan estos transportes. i) Emitir, distribuir y controlar los certificados de correo, necesarios para autorizar los

transportes de información clasificada por los servicios de protección de IC internacional.

j) Mantener contacto frecuente con los SPIC para asesorar y supervisar el correcto tratamiento de la información clasificada.

k) Proponer las medidas que considere adecuadas para corregir posibles vulnerabilidades en materia de protección.

l) Participar en las inspecciones ordinarias y extraordinarias a los servicios de protección de IC internacional.

SERVICIOS DE PROTECCIÓN DE INFORMACIÓN CLASIFICADA Generalidades

En todo ministerio, organismo o entidad, el jefe es responsable de la adecuada protección de la información clasificada, tanto en su custodia como en su manejo. Para asegurar el cumplimiento de sus cometidos en este aspecto, deberá disponer de los medios y recursos adecuados, es decir, de una estructura funcional y orgánica responsable de la ejecución de dicha protección.

Esta estructura, considerada al más alto nivel de la organización, recibe el nombre de

servicio de protección de información clasificada (SPIC), que estará bajo el mando de un jefe de seguridad del servicio de protección. Podrá existir un SPIC para información clasificada nacional y otro para internacional, aunque, como se indicó en la norma NS/00, se intentará que

- Pág. 32 de 97 -

la responsabilidad de ambas estructuras recaiga en las mismas unidades y personas. Cuando en un ministerio, organismo o entidad se constituya un único servicio de

protección de información clasificada que aglutine el servicio de protección de información clasificada nacional y el servicio de protección de información clasificada internacional, el jefe de seguridad recibirá la denominación de director de seguridad del servicio de protección (DSSP).

Bajo dependencia orgánica o funcional del director o jefe de seguridad del servicio de

protección se constituye una estructura completa de protección de la información clasificada, basada en lo que se denominan órganos de control, que se extienden hasta los últimos escalones del ministerio, organismo o entidad en que se maneja la información clasificada.

Los órganos de control son las unidades básicas, estructuradas jerárquicamente, que

componen los SPIC y se ocupan del manejo, custodia y protección de la información clasificada. Según el origen de la información podrán ser órganos de control nacionales o internacionales. Cada órgano de control estará bajo el mando de un jefe de seguridad, que contará siempre con un suplente.

Por tanto, un SPIC es el conjunto jerárquico de todos los órganos de control (nacionales

o internacionales, o ambos) existentes en un ministerio, organismo o entidad. Los órganos de control son responsables de todos los aspectos relacionados con la

seguridad de la información, es decir, tanto de su manejo y custodia (recepción, registro, almacenaje, distribución, etc.), como de la seguridad física, seguridad en el personal, seguridad en los sistemas de información y comunicaciones, etc.

El funcionamiento de estos órganos de control se basa en: − Un personal con dedicación preferente a esta tarea, específicamente formado para

sus funciones de seguridad, y con autoridad suficiente para cumplir con sus cometidos. El jefe de seguridad del órgano de control es el máximo responsable del cumplimiento de las normas de seguridad y figura clave del sistema.

− Unos medios e instalaciones de seguridad específicamente adaptados y aprobados para la custodia, control y manejo de la información clasificada, constituidos como zona de acceso restringido (ZAR).

− Una exacta ejecución de la normativa de seguridad por la que se rigen, especialmente la relativa a la protección, registro, custodia, manejo y distribución de la información clasificada.

− El cumplimiento de unos procedimientos operativos expresados en un plan de protección elaborado al efecto.

Según el tipo de información clasificada que manejan y el nivel jerárquico funcional en

que se encuadran, los órganos de control adoptarán la denominación de:

- Pág. 33 de 97 -

ÓRGANOS DE CONTROL

INFORMACIÓN CLASIFICADA NACIONAL

INFORMACIÓN CLASIFICADA INTERNACIONAL

Servicio central de protección de información clasificada (SCPIC) Subregistro principal (SP)

Servicio general de protección de información clasificada (SGPIC) Subregistro secundario (SS)

Servicio local de protección de información clasificada (SLPIC) Punto de control (PC)

Cuenta de cifra Cuenta de cifra

Las funciones de un órgano de control internacional son compatibles con las de un

órgano de control nacional, por lo que, siempre que sea posible, se intentará unificar ambas funciones dentro de la misma estructura y bajo el mismo responsable. Solo cuando no sea posible llevar a cabo dicha unificación, se mantendrán separados, bajo un mismo o distinto responsable.

En el ámbito de la seguridad industrial, las empresas contratistas que participen en

actividades, contratos o proyectos clasificados deberán constituir un servicio de protección de información clasificada, que asumirá todas las responsabilidades de protección de información clasificada, según se regula en la norma NS/06 sobre “Seguridad Industrial” de la ANPIC. Órganos de control nacionales

Son las unidades responsables de aplicar las medidas necesarias para lograr un adecuado manejo y protección de la información clasificada de origen nacional. En función de su ubicación funcional dentro del organigrama de la organización podrán ser servicios centrales, generales o locales de protección. Además de los anteriores, tendrán consideración de órganos de control, a todos los efectos, las cuentas de cifra.

Todos los departamentos ministeriales y organismos públicos independientes, de la

Administración, que precisen manejar información clasificada nacional, deberán contar, con un servicio central de protección de información clasificada (SCPIC), que se constituye como órgano de trabajo del jefe de seguridad del SPIC nacional.

El jefe de seguridad del servicio de protección de información clasificada nacional

podrá ejercer como jefe de seguridad del SCPIC, cuando así se estime conveniente. En otro caso se nombrará un jefe de seguridad específico. Igualmente se nombrará un suplente.

Cuando la complejidad orgánica y modo de trabajo de algún departamento ministerial,

organismo o entidad así lo aconseje, se podrán constituir uno o varios servicios generales (SGPIC) y locales (SLPIC) de protección, subordinados funcionalmente al servicio central de protección.

- Pág. 34 de 97 -

A modo de ejemplo, podrán adoptar una estructura similar a la del siguiente gráfico, que podrá ampliarse en función de las necesidades del organismo:

Toda esta estructura nacional constituida en cada ministerio, organismo o entidad,

depende orgánica y funcionalmente del Ministro o jefe responsable.

Registros superiores de información clasificada nacional

Todo servicio central de protección de información clasificada nacional deberá constituirse en registro superior de información clasificada nacional del ministerio u organismo al que pertenezca, y como tal tendrá las siguientes funciones:

a) Establecer un sistema de registro, control, archivo y distribución de la

documentación clasificada que le permita, en todo momento, conocer la existencia y localización de toda la documentación de clasificación de grado RESERVADO o superior en su ministerio u organismo.

b) Distribuir y cursar la información clasificada que entre o salga del sistema de registro, a través suyo o con su concurso.

c) Realizar el registro, seguimiento y control exhaustivo de todos los documentos de grado SECRETO que se encuentren en el sistema de registro de su ministerio u organismo debiendo conocer su localización exacta en todo momento.

d) Efectuar el seguimiento de cualquier comprometimiento o infracción de seguridad detectados en la recepción, registro, archivo, distribución y remisión de la documentación clasificada de grado CONFIDENCIAL o superior, o con limitaciones especiales, ocurrido en un órgano de control subordinado.

e) Planificar y ejecutar la transmisión y el transporte de documentos clasificados que entren o salgan a través suyo.

f) Proponer las medidas que considere adecuadas para corregir posibles

SERVICIO CENTRAL (SCPIC)

SERVICIO GENERAL (SGPIC)

SERVICIO LOCAL

(SLPIC)

SERVICIO LOCAL

(SLPIC)

- Pág. 35 de 97 -

vulnerabilidades en materia de protección de la información. g) Participar en las inspecciones ordinarias y extraordinarias a los órganos de control

nacionales de él dependientes. Órganos de control internacionales

Son las unidades responsables de aplicar las medidas necesarias para lograr un adecuado manejo y protección de la información clasificada que proceda de organismos internacionales u otros estados. En función de su ubicación dentro del organigrama de la organización podrán ser subregistros principales, subregistros secundarios y puntos de control. Además de los anteriores, tendrán consideración de órganos de control, a todos los efectos, las cuentas de cifra.

Todos los departamentos ministeriales, organismos públicos independientes, el Cuartel

General del EMAD, y los Cuarteles Generales de los Ejércitos, deberán constituir un subregistro principal, que se constituye como órgano de trabajo del jefe de seguridad del SPIC internacional.

El jefe de seguridad del servicio de protección de información clasificada internacional

podrá ejercer como jefe de seguridad del subregistro principal, cuando así se estime conveniente. En otro caso se nombrará un jefe de seguridad específico. Igualmente se nombrará un suplente.

Cuando la complejidad orgánica y modo de trabajo de algún departamento ministerial u

organismo así lo aconseje, se podrán constituir uno o varios subregistros secundarios y puntos de control, subordinados jerárquica y funcionalmente al subregistro principal.

A modo de ejemplo, podrán adoptar una estructura similar a la del siguiente gráfico,

que podrá ampliarse en función de las necesidades del organismo:

Subregistro Principal (SP)

Subregistro

Secundario

Punto de Control (PC)

Punto de Control (PC)

- Pág. 36 de 97 -

Toda esta estructura internacional constituida en cada ministerio, organismo o entidad,

depende orgánicamente del Ministro o jefe responsable, y funcionalmente de la ANPIC (a través de la ONS).

Estructura de los servicios de protección de información clasificada

Los órganos de control que componen un servicio de protección de información clasificada, atendiendo al nivel orgánico en que se encuentren enmarcados dentro de sus organismos, podrán ser:

Servicio central de protección de información clasificada / Subregistro principal

Es el órgano de control de nivel superior, que actúa como órgano de trabajo del jefe de seguridad del SPIC.

Aunque orgánicamente se pueden encuadrar en la estructura más conveniente,

funcionalmente deben dar servicio al más alto nivel de cada departamento ministerial, Fuerzas Armadas, u otros organismos, o de sus órganos principales subordinados (Subsecretarías, Secretarías de Estado, Ejércitos, etc.), según aconseje la estructura orgánica y de funcionamiento de cada organismo o entidad en que se decida su constitución.

Será responsable de: a) Ejecutar los cometidos que marca la normativa de seguridad y las decisiones del jefe

de seguridad del SPIC. b) Dirigir, controlar y supervisar la actuación de los órganos de control subordinados. c) Inspeccionar el cumplimiento de la normativa relativa a la protección de la

información clasificada. d) Inspeccionar los órganos de control subordinados e indicar las medidas de seguridad

preventivas y correctivas que deban ser adoptadas. e) Establecer un sistema de recepción, registro, control, archivo, distribución y

remisión de la información clasificada manejada en su organismo, que permita, en todo momento, conocer dónde se encuentra la documentación de grado “CONFIDENCIAL o equivalente” o superior.

f) Gestionar las aperturas, cierres o modificaciones de los órganos de control, cuentas de cifra y zonas de acceso restringido y las autorizaciones de sistemas de información y comunicaciones correspondientes al organismo o entidad al que sirven.

g) Centralizar la tramitación de los expedientes de solicitud de habilitación personal de seguridad correspondientes a sus organismos dependientes, y apoyar en las investigaciones cuando así les sea requerido por la ONS.

h) Centralizar la tramitación de los expedientes de acreditación de los sistemas CIS que vayan a manejar información clasificada dentro de su ámbito de actuación.

i) Tramitar las solicitudes de visitas clasificadas (“Request for Visit” -RFV- en terminología internacional) y comunicaciones de asistencia a reuniones internacionales clasificadas, así como los planes de transporte de material clasificado de sus organismos dependientes, cuando no sea responsabilidad de un órgano específico.

- Pág. 37 de 97 -

Subregistro principal exterior

Son los órganos de control situados en las representaciones nacionales ante organizaciones internacionales, encargados de la recepción y entrega de la información clasificada procedente o dirigida a dichas organizaciones.

Su función es fundamental porque constituyen el punto de intercambio documental “in

situ” entre España y la organización internacional ante quien ejercen su representación. Asimismo, son responsables de velar por el cumplimiento de la normativa de seguridad de la ANPIC por todo el personal de sus delegaciones y de dar soporte al resto de personal que, en representación de España, asiste o participa en actividades de dichas organizaciones internacionales.

Especialmente crítico es el apoyo al flujo documental de la información clasificada que

los delegados reciben por su participación en los diferentes comités y grupos de trabajo, a los que, cuando así se requiera, deben facilitar su recogida y transmisión por canales seguros, evitándose que los delegados viajen de forma irregular con información clasificada.

Se relacionan directamente con la ONS en aquellas materias de su competencia.

Servicios generales de protección / Subregistros secundarios

Son los órganos de control con dependencia funcional directa de un servicio central de protección de IC / subregistro principal, de los que a su vez pueden depender otros órganos de control subordinados funcionalmente. Están encargados de asegurar la difusión, control y protección de la información clasificada a sus órganos de control subordinados, y a aquellos organismos a los que sirven.

Servicios locales de protección / Puntos de control

Constituyen las unidades elementales del sistema de protección. Dependen de un servicio central o general de protección o de un subregistro, principal o secundario, a través del cual realizan normalmente todas las operaciones de recepción y envío de documentación clasificada, estando encargados de asegurar la difusión, control y protección de la información clasificada en aquellos organismos a los que sirven.

En caso de necesitarlo se podrán constituir puntos de control secundarios, dependientes

jerárquicamente de puntos de control, con los mismos requisitos y funcionalidades.

Cuentas de cifra

Cuando un organismo tenga necesidad de manejar material de cifra (equipos criptográficos, claves, etc.), se constituirá una cuenta de cifra al efecto, que tendrá también la consideración de órgano de control, y deberá cumplir con todos los requisitos de seguridad y procedimientos señalados para éstos.

Instalaciones separadas constituidas como zonas de acceso restringido (ZAR) dependientes

Las instalaciones o locales en que se maneje información clasificada de grado

- Pág. 38 de 97 -

“CONFIDENCIAL o equivalente” o superior, o que alberguen en sus instalaciones sistemas de información y comunicaciones que manejen información clasificada de dicho grado, deberán cumplir unos requisitos específicos, tanto de seguridad como de apertura, modificación, cierre y control.

En todos los casos dependerán, a efectos de protección de la información clasificada, de

un órgano de control y estarán constituidos como zonas de acceso restringido (ZAR). Las especificaciones sobre los requisitos que deben tener estas instalaciones se

especifican en la norma NS/03 sobre “Seguridad Física” de la ANPIC.

AUTORIDAD DE SEGURIDAD DESIGNADA (ASD) Y ÁREA DE SEGURIDAD DE LA INFORMACIÓN CLASIFICADA EN EL ÁMBITO INDUSTRIAL

Cuando en un ministerio se desarrollen actividades, contratos o programas clasificados, que impliquen la participación de empresas privadas o públicas, se deberá establecer un área de seguridad de la información clasificada en el ámbito industrial, que dependerá funcionalmente de la ASD, en el caso de que haya sido nombrada.

Esta autoridad será responsable de que en el propio ministerio y en las empresas, se

adopten las medidas necesarias para asegurar la protección de la información clasificada que se maneje e intercambie al amparo de dichas actividades, contratos o programas clasificados.

Dichas medidas deberán ser acordes a lo estipulado en las normas de la ANPIC, y

especialmente las específicas de seguridad industrial definidas en la norma NS/06, en la que se definen los cometidos, estructuras y procedimientos específicos aplicables al ámbito de la seguridad industrial.

ESTRUCTURA DE SEGURIDAD EN LOS SISTEMAS DE INFORMACIÓN Y COMUNICACIONES

Se deberá establecer, obligatoriamente, una estructura de seguridad de las tecnologías de información y telecomunicaciones (STIC) de la organización en cada ministerio, organismo o entidad del más alto nivel de la Administración (departamentos ministeriales, Fuerzas Armadas, etc.), dado que, cada vez en mayor volumen, la información se almacena, distribuye y custodia en sistemas de información y comunicaciones (CIS),.

Esta estructura será responsable de que se adopten las medidas STIC necesarias para

garantizar la protección de la información clasificada que se maneje e intercambie en CIS, debiendo cumplir en todo momento lo estipulado en las normas de la ANPIC, especialmente en la norma NS/05 sobre “Seguridad en los Sistemas de Información y Comunicaciones” de la ANPIC. Estará dotada del personal, formación y recursos necesarios, y actuará siempre en coordinación y bajo la supervisión de la estructura de protección de la información clasificada de la organización.

Las funciones asignadas a esta estructura STIC serán las de dirección, control,

ejecución, inspección y seguimiento de todos los procesos de acreditación de sistemas que se

- Pág. 39 de 97 -

realicen en la organización a la que sirve, asegurando que los sistemas que se presentan para su acreditación cumplen con todos los requisitos marcados por la Autoridad de Acreditación de Seguridad (AAS) y la normativa aplicable.

En la norma NS/05 de las Normas de la ANPIC, se definen los cometidos, estructuras y

procedimientos específicos y aplicables al ámbito de la seguridad en los sistemas de información y comunicaciones.

En aquellas organizaciones en las que se maneje material de cifra, se establecerá una

estructura responsable del control de material de cifra, con cometidos específicos en el control, custodia y uso de los equipos y documentación de cifra, y del material de claves. Sus funciones y cometidos se rigen por normativa específica, complementaria a estas normas, desarrollada por las autoridades de cifra.

LA HABILITACIÓN PERSONAL DE SEGURIDAD

DEFINICIÓN

La habilitación personal de seguridad (HPS) es la resolución positiva de la ANPIC por la que, en nombre del Gobierno del Reino de España, reconoce formalmente la capacidad e idoneidad de una persona para tener acceso a información clasificada en el ámbito y grado autorizado, al haber superado el proceso de investigación de seguridad y haber sido concienciado en el compromiso de reserva que adquiere y en las responsabilidades que se derivan de su incumplimiento, resolución que se materializa en un documento firmado por la ANPIC.

La HPS certifica que:

- A su titular, por las condiciones que reúne, se le puede confiar, dentro de un riesgo asumible, el acceso a informaciones clasificadas.

- La persona habilitada ha sido debidamente concienciada en materia de seguridad y conoce sus responsabilidades penales y disciplinarias, contempladas en el Código Penal y en el Código Penal Militar, este último aplicable solo a personal militar.

NECESIDAD DE LA HABILITACIÓN

La HPS no es un derecho del interesado, sino un reconocimiento de las condiciones de seguridad presentes en una persona y su entorno. Supone, por tanto, la expresión explícita de la confianza del Estado en dicho individuo para su acceso a información clasificada.

Deberán disponer de HPS todas aquellas personas, con independencia de su cargo y

jerarquía, que manejen información clasificada de grado “CONFIDENCIAL o equivalente” o superior, los encargados de su custodia y traslado y, en general, cualquiera que pudiera contar con la posibilidad razonable de tener acceso a ella.

Sólo en casos particulares y siempre que se trate de personal fijo, se podrá solicitar HPS

- Pág. 40 de 97 -

para personas que presten servicios de mantenimiento o limpieza de instalaciones. En concreto, será necesario cuando dichos trabajos se realicen en una zona de acceso restringido configurada como área clase I, en la que no es posible ocultar toda la información clasificada o puede producirse con cierta probabilidad un acceso fortuito a la misma.

En estos casos, el propio órgano de control del que depende la zona de acceso

restringido, será el responsable de iniciar y tramitar el expediente de habilitación de seguridad de dicho personal. La empresa de servicios a la que pertenezca el personal no precisará disponer de una HSEM.

Al personal de mantenimiento de instalaciones y limpieza le será prohibida la entrada

sin escolta en las zonas de acceso restringido, aun cuando cuente con HPS. Esta escolta no necesariamente tendrá que prestarse por personal específico de seguridad, sino que podrá ser personal de la organización autorizado para acceder a dicha zona quien les acompañe. Durante su permanencia en la zona, las informaciones clasificadas estarán protegidas de la observación y de la escucha pasiva o activa, no quedando nunca sin control el personal ajeno mientras se encuentre dentro de la zona.

Los guardias de seguridad empleados en el transporte de información clasificada de

grado “CONFIDENCIAL o equivalente” o superior, deberán contar con HPS del grado requerido de acuerdo con el grado de clasificación de la información que vayan a transportar.

Los guardias de seguridad que por razón de su trabajo puedan tener acceso a

información clasificada, deberán contar con HPS del grado apropiado. También se necesita habilitación para: 1) La asistencia a actividades clasificadas en el extranjero

La asistencia a actividades en que se trate o maneje información clasificada de nivel “CONFIDENCIAL o equivalente” o superior, lleva asociado el requisito de que todos los asistentes estén en posesión de la correspondiente HPS.

Por ello, el acceso en el extranjero a determinados Cuarteles Generales, mandos, sedes, instalaciones, fábricas, etc., tanto en el ámbito de una organización internacional, como en cualquier país con el que exista un acuerdo para la protección de información clasificada que regule esta materia, y donde se celebren reuniones, cursos, seminarios, comités, grupos de trabajo o simplemente visitas, puede requerir de una HPS.

Con objeto de que la llegada de los representantes españoles sea conocida por los servicios de seguridad y, en su caso, tengan preparados los correspondientes pases de acceso, la ONS, en nombre de la ANPIC, comunicará a estos servicios, con la suficiente antelación, por los cauces y con las formalidades reglamentarios, la identidad de los desplazados, su grado de HPS, la identificación de la actividad en la que van a participar, las fechas de comienzo y finalización y el lugar concreto donde se desarrolle.

Para ello remitirá una certificación de HPS de las personas que se desplazan, que podrá adoptar un formato específico en función del ámbito y destino, como por ejemplo “Certificate for Assistance” (certificado de asistencia) a actividades

- Pág. 41 de 97 -

oficiales, o “Request for Visit” (RFV) en el ámbito industrial, o cualquier otro que pudiera estar reglamentado en la actualidad o en el futuro.

A estos efectos, y con carácter general, los jefes de seguridad de los servicios de protección de los que dependan los organismos o empresas que vayan a enviar representantes a una reunión, comité, curso, visita, etc., deberán comunicárselo a la ONS con un mínimo de diez (10) días hábiles de antelación a la fecha de inicio de la actividad. En determinado ámbito o contexto, en normativa específica, podrá establecerse un plazo de tiempo mayor.

En ciertos casos, para ámbitos, destinos y condiciones expresamente indicados por escrito, la ONS, en nombre de la ANPIC, podrá autorizar de oficio a determinados jefes de seguridad de servicio de protección a remitir directamente estas certificaciones, incluyendo normalmente como destinatario de información a la ONS, a efectos de control del proceso.

Análogamente, en el ámbito de la seguridad industrial, la ONS podrá delegar, en determinadas áreas de seguridad de la información clasificada en el ámbito industrial, todas o parte de estas competencias.

Cuando no se conozca con precisión el procedimiento para el envío de la certificación de HPS requerida, será aconsejable que los interesados lleven consigo un certificado de HPS, emitido al efecto con los criterios establecidos en la norma NS/02 de las Normas de la ANPIC, que acredite su titularidad como habilitados.

2) La asistencia a actividades clasificadas en ESPAÑA

La organización en España de cualquier actividad internacional, incluidas visitas, en la que se maneje información clasificada de organizaciones internacionales u otros países con acuerdo de seguridad, con independencia de su grado de clasificación, requiere su comunicación previa a la ONS, u otro órgano en que pueda haber delegado, adjuntando la lista de participantes, al objeto de conocer su celebración y controlar las certificaciones de HPS que se reciban.

Es responsabilidad de quien organiza la actividad el solicitar de los asistentes la comunicación de su grado de HPS y vigencia, mediante el uso del “Certificate for Assistance” (certificado de asistencia) a actividades oficiales, o del “Request for Visit” (RFV) en el ámbito industrial, según el ámbito de que se trate, conforme se ha explicado más arriba.

Con carácter general esta comunicación, para personal extranjero, se tramitará, con al menos diez (10) días hábiles de antelación, a través de la ANS de su país de origen, a la ANPIC, o por otro cauce que específicamente esté establecido y autorizado por las Autoridades Nacionales concernidas.

Para asistentes de nacionalidad española, la comunicación se podrá realizar directamente entre órganos de control, no siendo preciso informar de ello a la ONS.

Al igual que en el punto 1) anterior, cuando no se conozca con precisión el procedimiento para el envío de la certificación de HPS requerida, será aconsejable que los interesados lleven consigo un certificado de HPS.

- Pág. 42 de 97 -

GRADOS DE HABILITACIÓN

En función del grado de clasificación de la información que un usuario necesite conocer, necesita disponer previamente de una habilitación de grado al menos igual al del grado de dicha información.

Los grados de las habilitaciones se corresponden con los tres primeros grados de

clasificación de seguridad:

- SECRETO o equivalente,

- RESERVADO o equivalente,

- CONFIDENCIAL o equivalente.

TIPOS DE HABILITACIÓN

El tipo es el ámbito de origen al que pertenece la información, es decir, la organización o nación propietaria de la información clasificada a la que puede tener acceso, si es necesario. Por ejemplo: OTAN, UE, NACIONAL.

ESPECIALIDADES

Determinadas informaciones pertenecen a ámbitos más concretos que exigen una especial preparación del futuro usuario y un control más exhaustivo.

Existen tres autorizaciones especiales que complementan a las habilitaciones:

- El acceso a informaciones sobre planes, despliegues y características de las armas nucleares que ESTADOS UNIDOS y el REINO UNIDO ponen a disposición de la OTAN, precisa una autorización que se denomina “ATOMAL/ATOMIC” ( por ejemplo: NATO SECRET ATOMAL). No existe la especialidad ATOMAL en el ámbito de las habilitaciones UE ni de la ESA.

- El conocimiento y manejo de las claves de cifra y equipos de cifra de las comunicaciones necesita también una autorización especial denominada “CRYPTO” (por ejemplo: NATO SECRET-CRYPTO, EU SECRET-CRYPTO, ESA SECRET- CRYPTO). Para información nacional existe la especialidad “CRIPTO”, con igual criterio (por ejemplo: RESERVADO CRIPTO).

- Para la asistencia a determinadas reuniones nacionales o de OTAN, en las que se tratan asuntos relacionados con la guerra electrónica y la utilización de los medios electrónicos y de comunicaciones para la obtención de información, los organizadores exigen una garantía de que los asistentes son conscientes de la específica confidencialidad del tema y están dotados de los conocimientos técnicos precisos para seguir sin dificultad los contenidos de las reuniones. Esta garantía, que acompaña a la habilitación de seguridad, se denomina “BOHEMIA” en el ámbito de la OTAN, usando igual término o “SIGINT” para nacional. Esta garantía no existe en el ámbito UE, ni de la ESA

- Pág. 43 de 97 -

TRAMITACIÓN DE HABILITACIONES Consideraciones previas

Los organismos, unidades y empresas dispondrán de los medios necesarios para gestionar el proceso de solicitud de HPS para su personal. La tramitación de las solicitudes de HPS se realizará por el canal funcional o jerárquico de responsabilidad que sea pertinente y que estará previamente definido.

Es responsabilidad de las autoridades, mandos o responsables, determinar y catalogar

aquellos puestos de trabajo de sus respectivos organismos, unidades o empresas, en los que se debe estar en posesión de la oportuna HPS.

Los interesados no podrán tramitar directamente solicitudes de HPS a la ANPIC, por

ser precisa la existencia de un organismo, unidad o empresa garante de la solicitud. Las solicitudes de HPS serán tramitadas a través de los órganos de control u oficinas de seguridad responsables en los organismos o entidades a las que pertenezcan los interesados.

El proceso de tramitación de una solicitud de HPS se basa en una investigación sobre

las condiciones de seguridad del interesado y de su entorno, es decir, en la realización de un análisis de los riesgos presentes.

La ANPIC es la responsable de tomar la decisión respecto a la idoneidad de los

ciudadanos que requieran tener una HPS. La concesión o denegación de HPS, y su suspensión o retirada, son competencia exclusiva de la ANPIC.

Los interesados, adquieren la obligación de aportar los datos solicitados, de forma veraz

y cuanta información adicional se les requiera. Asimismo, deberán comunicar los cambios significativos en su situación personal desde el momento de la concesión de la HPS.

El incumplimiento de cualquiera de estos requisitos podrá ser motivo de denegación o

retirada de la HPS. La ONS, como órgano de trabajo de la ANPIC, es responsable de la gestión y control

de los procesos para la determinación de la idoneidad de un interesado. La ONS podrá solicitar de los organismos o entidades a los que pertenece un interesado,

cuanta información adicional precise relativa a la solicitud. El interesado conoce, y autoriza, que va a ser sometido a un proceso de investigación

sobre su persona y su entorno. Para ello el interesado debe aportar al expediente de solicitud los datos iniciales para su realización. Durante el transcurso de la investigación se le podrán solicitar los datos adicionales que se estimen necesarios para determinar el riesgo.

Los datos aportados por el interesado tienen carácter de declaración de seguridad y

están exentos de ciertas tutelas previstas en las leyes que regulan la relación electrónica del ciudadano con la Administración y la protección de datos de carácter personal. No obstante, se custodiarán con la debida protección a lo largo de todo el trámite de solicitud.

- Pág. 44 de 97 -

Durante la vigencia de la HPS el interesado estará sometido a un proceso de evaluación

continua de las condiciones de seguridad, por lo que la investigación podrá retomarse en cualquier momento.

Proceso secuencial de trámite del expediente de solicitud

El proceso secuencial de trámite es el siguiente:

- El órgano solicitante, tras determinar la necesidad de solicitar una HPS para el interesado, rellena el formulario de solicitud de HPS, dando exacto cumplimiento a cuanto en él se requiere.

- El órgano de control u oficina de seguridad, responsable de su tramitación, imparte, o verifica, la ejecución de la concienciación en seguridad del interesado.

- El interesado, a requerimiento y asesorado por el personal del órgano de seguridad de la información clasificada de su organismo o entidad, rellena la declaración personal de seguridad.

- El expediente, al que se irá adjuntando la documentación adicional que se precise, se remite a través de la estructura nacional de protección de la información clasificada, para que finalmente llegue a la ONS. Cada escalón jerárquico por el que circule es responsable de que los expedientes estén completa y correctamente cumplimentados.

- El organismo responsable de la remisión del expediente a la ONS, certificará con el sello oficial y firma, estampados en la Solicitud de HPS, que todo el proceso se ha efectuado conforme a la normativa y que la documentación que se entrega está revisada y completa.

La fecha de entrada del expediente de solicitud en la ONS no podrá ser posterior a seis

(6) meses de la fecha de firma de la declaración personal de seguridad por el interesado, al objeto de asegurar la vigencia de los datos aportados.

Una norma particular de la Autoridad SIGINT de España, establecerá las peculiaridades

de tratamiento para la concesión de HPS con especialidad BOHEMIA o SIGINT, que requiere una instrucción especial y su tramitación a través de canales específicos.

Cumplimentar los formularios

El expediente inicial de solicitud de HPS consta de una serie de formularios básicos, publicados para su uso en la página “web” de la ONS, en la dirección URL:

http://www.cni.es/es/ons/formularios

Los formularios actualmente vigentes son:

- Solicitud de habilitación personal de seguridad (SHPS-100). En este formulario, el órgano solicitante identifica los datos fundamentales del interesado y expresa lo que se solicita, junto con una justificación detallada de la necesidad. Asimismo, el jefe o responsable de quien depende el interesado, con el nivel de responsabilidad y la competencia adecuados, certificará la necesidad y la pertinencia de la solicitud, y

http://www.cni.es/es/ons/formularios

- Pág. 45 de 97 -

autorizará su tramitación. Incluye una declaración por la que el jefe de seguridad avala con su firma que el interesado ha sido concienciado en la protección de la información clasificada y, en su caso, instruido en las especialidades pertinentes.

- Declaración personal de seguridad (DPS-102). Formulario que deberá rellenar exclusivamente el interesado, quien certificará con su firma la veracidad de los datos aportados. Aparte de los datos que se aportan, el interesado declara y firma que comprende perfectamente sus obligaciones especiales y permanentes en lo que se refiere a la protección de la información clasificada. Asimismo, reconoce las responsabilidades penales y disciplinarias por la divulgación no autorizada de esta clase de informaciones. Del mismo modo, autoriza el uso de los datos aportados, o de aquellos que sea necesario recabar posteriormente, para la investigación de seguridad. Para los expedientes de solicitud de ampliación de una HPS, si no ha habido cambios en

los datos de la declaración personal de seguridad, no será necesaria la remisión completa de dicho formulario. En cualquier caso, será obligatoria la remisión del apartado 7 de dicho formulario, que contiene la declaración personal del interesado.

Se encuentra disponible en la página “web” de la ONS un documento adicional de

Orientaciones con instrucciones específicas para la cumplimentación y tramitación de las solicitudes de HPS.

En el ámbito de la seguridad industrial, los expedientes de solicitud de HPS del

personal perteneciente a empresas contratistas, además de la documentación indicada en el apartado anterior, deberán incluir el siguiente formulario, disponible en la página “web” de la ONS:

- Propuesta de Personal (PP-103). En este formulario, el contratista especifica el perfil laboral del interesado y los contratos clasificados en los que se prevé su participación. Incluye el visto bueno del inspector de seguridad industrial, que avala con su firma el proceso de solicitud, desde el punto de vista de la seguridad industrial. Es importante que el interesado y el jefe de seguridad, o el personal del órgano de

control, revisen la documentación y se aseguren que está correctamente cumplimentada, al objeto de evitar demoras innecesarias en el procedimiento, por devolución de los formularios incorrectamente cumplimentados.

Concesión de la HPS

Una vez finalizadas las investigaciones de seguridad, y siendo favorables los informes, se formalizará la concesión de la HPS. La HPS, firmada por la ANPIC, se extiende, inicialmente, por un periodo de validez de cinco años.

La HPS definirá explícitamente los términos exactos del acceso a que se habilita, es

decir, grado, tipos y especialidades para los que se expide, así como las fechas de concesión y de caducidad.

Cuando en algún expediente se aprecien circunstancias de seguridad que así lo

aconsejen, o cuando por la justificación de la necesidad de conocer se determine que el acceso a información clasificada vaya a ser limitado en el tiempo, se podrá proceder a una concesión

- Pág. 46 de 97 -

restringida de la HPS. La restricción en la concesión podrá afectar al grado solicitado, al periodo de validez o a ambos aspectos.

Denegación de la HPS

En los casos en los que el resultado de la investigación determine la existencia de riesgos no asumibles para la seguridad de la información clasificada, en el interesado o en su entorno, la ANPIC no concederá la HPS, y firmará una resolución de denegación.

Será motivo suficiente de denegación o retirada el que se falsee cualquiera de los datos

que se requieren en el expediente de solicitud, o el que estos no se aporten en su totalidad en el plazo establecido.

La denegación se comunicará al órgano solicitante mediante oficio, incluyendo la

resolución de denegación para su entrega al interesado. El órgano solicitante será responsable de entregar la resolución y de remitir el acuse de

recibo firmado por el interesado a la ONS.

Retirada de la HPS

La ANPIC podrá proceder a la retirada de una HPS si considera que existen motivos en el interesado o en su entorno que lo justifican, mediante la firma de una resolución de retirada.

Suspensión de la HPS

Una HPS estará en estado de suspensión cuando, sin haber llegado a su fecha de caducidad, deja de tener vigencia para el interesado.

En determinados casos, si se tuviese conocimiento de la existencia de aspectos que

puedan afectar a la seguridad de la información clasificada, la ANPIC podrá proceder, en cualquier momento, a la suspensión de una HPS en vigor. Simultáneamente, la ONS llevará a cabo una investigación de la que se derivará la retirada o la confirmación de la HPS afectada.

Durante el periodo de suspensión, a todos los efectos el usuario carece de

habilitación personal de seguridad, lo que deberá ser comunicado al órgano responsable de la custodia de la HPS, a los organismos que dispongan de certificaciones en vigor sobre esta HPS y al propio usuario.

INSTRUCCIÓN DE SEGURIDAD

La formación en materia de seguridad para los usuarios de información clasificada contempla dos fases, ambas necesarias y obligatorias:

- Concienciación de seguridad.

- Instrucción de seguridad. La concienciación de seguridad se encuadra dentro del proceso de solicitud de la HPS

- Pág. 47 de 97 -

y es requisito previo para su concesión. Todos los interesados para los que se solicita HPS deberán declarar por escrito, como

requisito previo para su concesión, que entienden plenamente los siguientes conceptos:

- Las implicaciones que tiene el deber de reserva respecto a la información clasificada a la que accederán.

- Las consecuencias que las leyes contemplan en el caso de que la información clasificada llegue a manos no autorizadas, ya sea de forma intencionada o por negligencia, por incumplimiento de la normativa para su manejo. La evidencia de la impartición de esta concienciación previa se plasma en dos

documentos complementarios:

- La declaración de concienciación de seguridad del formulario de solicitud de HPS, firmada por el jefe de seguridad del organismo solicitante, como responsable de que se ha impartido la concienciación.

- La declaración personal del interesado (apartado 7 del formulario de declaración personal de seguridad), firmada por el propio interesado. Para determinadas solicitudes de HPS de personal que ocupe puestos de relevancia en

las organizaciones, la ONS podrá llevar a cabo la concienciación de seguridad como requisito necesario para la concesión de la HPS solicitada.

Por otro lado, la instrucción de seguridad es requisito previo para el acceso efectivo a la información clasificada, y se impartirá con posterioridad a la concesión de la HPS y antes del primer acceso, salvo que acceda únicamente a información clasificada de grado “DIFUSIÓN LIMITADA o equivalente”, en cuyo caso solo es preceptiva la instrucción de seguridad, pero no la posesión de HPS.

PROTECCIÓN DE LA INFORMACIÓN CLASIFICADA

La protección de la información clasificada requiere que se implementen un conjunto integrado de medidas que abarquen diversos aspectos de la seguridad: seguridad física, seguridad en el personal y seguridad de la información. La creciente utilización de los sistemas de información y de comunicaciones (sistemas CIS) para manejar o transmitir la información clasificada, requiere, adicionalmente a su acreditación de seguridad, el que también se implementen estas mismas medidas en las instalaciones donde se ubican estos sistemas, para dotarles de un entorno seguro.

SEGURIDAD FÍSICA

La seguridad deberá ser concebida de forma global, mediante una combinación de medidas físicas complementarias que garanticen un grado de protección suficiente, coordinando su aplicación con el resto de medidas de seguridad: seguridad en el personal, seguridad de la información y seguridad en los sistemas de información y comunicaciones.

- Pág. 48 de 97 -

Las instalaciones en las que se vaya a manejar o almacenar información clasificada deberán ser protegidas mediante las apropiadas medidas de seguridad física, teniendo en cuenta los siguientes factores:

- Grado de clasificación de la información.

- Tipo de información, en cuanto a su origen.

- Cantidad y formato de la información (papel, dispositivos informáticos, u otros).

- Necesidad de conocer del personal.

- Amenazas y vulnerabilidades.

- Medios de almacenamiento de la información. La seguridad se constituye según un esquema de defensa en profundidad, en diferentes

entornos sucesivos, desde el perímetro exterior de la base, acuartelamiento, edificio o centro, hasta llegar al recinto final de la instalación. Se distinguen los siguientes entornos:

- Entorno global de seguridad (EGS): Se refiere al perímetro o perímetros de seguridad exteriores, que es necesario sobrepasar para llegar a la propia zona de acceso restringido (ZAR, que se define más adelante). Se compone de elementos de seguridad tales como elementos estructurales de protección (vallas, iluminación de seguridad, detectores de presencia y paso, circuitos cerrados de televisión (CCTV) perimétricos, etc.), control general de accesos y de identificación, guardias de seguridad, patrullas y fuerzas de reacción.

- Entorno local de seguridad (ELS): Viene referido a la seguridad inmediata e interior de la propia zona de acceso restringido, por lo que incluye las medidas instaladas en las zonas adyacentes a la misma, en los propios paramentos y accesos, así como en el interior de la propia instalación, impidiendo el acceso a la información clasificada allí manejada. Se compone de elementos de seguridad tales como elementos estructurales de protección (paramentos de fortaleza adecuada, puertas blindadas, cerraduras de seguridad, etc.), sistema de control de acceso, detectores de intrusión, cámaras CCTV, cajas y armarios de seguridad.

- Entorno electrónico de seguridad (EES): Medidas implementadas para evitar el acceso no permitido a los equipos electrónicos (uso de etiquetas anti manipulación, candados anti remoción, etc.), evitar fugas de información relacionadas con fenómenos TEMPEST, o las medidas establecidas contra escuchas activas o pasivas.

Toda instalación en la que se vaya a almacenar o manejar información clasificada de

grado CONFIDENCIAL o equivalente” o superior, deberá someterse a un proceso de acreditación por el que se declara su constitución como zona de acceso restringido (ZAR).

Una ZAR es, por tanto, una instalación donde se almacena o maneja información

clasificada, normalmente de grado “CONFIDENCIAL o equivalente” o superior, por lo que deberán contar con las medidas y procedimientos de seguridad adecuados y suficientes, para asegurar la protección de la información clasificada en todo momento. Estas instalaciones deberán ser oficial y formalmente acreditadas, y deberán estar organizadas conforme a alguna

- Pág. 49 de 97 -

de las siguientes configuraciones de trabajo:

a) ÁREA CLASE I. Zona en la que se maneja y almacena información clasificada de tal forma que la entrada a la zona supone, a todos los efectos, el acceso a dicha información, por lo que sólo puede acceder personal debidamente habilitado y autorizado. Este tipo de zona precisa:

− Un perímetro claramente definido y protegido a través del cual se controlen todas las entradas y salidas.

− Un sistema de control de entrada que admita exclusivamente a aquellas personas debidamente habilitadas y específicamente autorizadas para acceder a dicha área.

− Que las personas que accedan a la zona sean informadas previamente del tipo y grado de clasificación de la información a la que da acceso la entrada.

b) ÁREA CLASE II. Zona en la que se maneja y almacena información clasificada de tal forma que pueda estar protegida del acceso de personas no autorizadas mediante controles establecidos internamente, por lo que se podrá admitir la entrada a personal visitante debidamente controlado. Este tipo de zona precisa:

− Un perímetro claramente definido y protegido a través del cual se controlen todas las entradas y salidas.

− Un sistema de control de entrada que sólo permite el acceso sin escolta a aquellas personas con habilitación de seguridad y con autorización específica para acceder a la zona. A todas las demás personas se les proporcionará escolta o controles equivalentes a fin de evitar el acceso no autorizado a la información clasificada y la entrada, no controlada, a las zonas sujetas a inspección de seguridad técnica.

No existe una relación entre la configuración como clase I o II y el grado de protección

que se aporta. La única diferencia entre ambas radica en las condiciones de accesibilidad a la información clasificada dentro de cada zona.

Las organizaciones deberán designar un responsable de seguridad de cada zona de

acceso restringido. Asimismo, las zonas de acceso restringido siempre estarán bajo la responsabilidad de un órgano de control (servicio de protección de información clasificada, subregistro o punto de control).

La acreditación es el reconocimiento expreso, mediante certificado escrito (según

formato en vigor de “certificado de acreditación de locales”, publicado en la página “web” de la ONS), de la capacidad de un determinado local, edificio, oficina, habitación u otra área para que en él se pueda almacenar o manejar información clasificada, en unas condiciones establecidas, constituyéndose como zona de acceso restringido.

El certificado de acreditación de locales (CAL) correspondiente que se emite es la

autorización expresa que se otorga a la instalación, configurada como área clase I ó área clase II, y que especifica los tipos (origen) y grado máximo de clasificación de la información

- Pág. 50 de 97 -

clasificada que puede ser almacenada o manejada en la misma. La acreditación de una zona de acceso restringido exigirá la elaboración previa, por

parte del responsable de seguridad de la zona de acceso restringido, de un plan de protección. Consta de tres documentos básicos:

− Informe de instalaciones: Su objeto es describir los sucesivos entornos de

seguridad existentes, las características físicas y las medidas técnicas adoptadas, que permiten alcanzar un nivel de protección suficiente. No debe incluir, en ningún caso, procedimientos, normas o medidas organizativas, que sean objeto de los otros planes.

− Procedimientos de seguridad: Su objeto es describir las medidas organizativas de

seguridad, es decir, los procedimientos de control, gestión, trabajo, guarda, salvaguarda, etcétera, establecidos en el órgano, local o área de seguridad para, en conjunción con las medidas de seguridad física existentes (explicadas en el informe de instalaciones), permitir y garantizar la protección de la información clasificada y su adecuado manejo, en condiciones de trabajo habituales.

− Plan de emergencia: Su objeto es describir las medidas organizativas de seguridad a

adoptar o seguir para mantener la protección de la información clasificada ante contingencias de tipo extraordinario.

El jefe de seguridad del órgano de control (servicio de protección de materias

clasificadas, subregistro principal... etc.) bajo cuyo control esté la zona de acceso restringido, será responsable de verificar y declarar que el plan de protección es completo, correcto y está adecuadamente implantado. Cuando el propio jefe de seguridad sea a su vez responsable de seguridad de la zona de acceso restringido, la responsabilidad será del jefe de seguridad del órgano de control superior.

SEGURIDAD EN EL PERSONAL

La seguridad en el personal es la condición que se alcanza cuando se aplican un conjunto de medidas eficaces y procedimientos establecidos, para reducir a un grado mínimo aceptable el riesgo de comprometimiento de la información clasificada por causa debida exclusivamente al personal que accede a ella, ya sea de forma voluntaria, involuntaria, autorizada o sin autorización.

La protección de la información clasificada y su seguridad recaen, en último extremo,

en las personas que la manejan, gestionan, transportan, o simplemente acceden a ella de forma accidental, es decir, los usuarios de la información clasificada.

El usuario, por tanto, es la persona que, en el cumplimiento de sus cometidos oficiales,

tiene que acceder a la información clasificada y, en consecuencia, está debidamente autorizado por su organismo o entidad y cumple los requisitos de acceso. Asume las siguientes responsabilidades:

- Dar la adecuada protección a la información clasificada a su cargo.

- Pág. 51 de 97 -

- Conocer y cumplir la normativa nacional y las normas específicas de seguridad de su organismo o entidad, referentes a la protección de la información clasificada.

- Mantener la debida reserva ante terceros sobre su condición de titular de una habilitación de seguridad.

- No manejar información clasificada al margen de los canales oficialmente establecidos (estructura nacional de protección).

- Cooperar con el jefe de seguridad del órgano de control de su organismo o entidad en todo aquello que se relacione con la seguridad de la información clasificada en su puesto de trabajo, en su entorno laboral y en las actividades y foros en que intervenga.

- Mantener la reserva sobre la información clasificada a la que tuvo acceso, incluso una vez haya caducado su habilitación de seguridad. El acceso de un usuario a la información clasificada se realizará conforme a las

condiciones que se indican en la norma NS/02 de la ANPIC, y que básicamente se resumen en que se podrá autorizar dicho acceso si el usuario:

- tiene concedida una habilitación personal de seguridad (HPS) adecuada, si el acceso es a información clasificada de grado “CONFIDENCIAL o equivalente” o superior,

- se ha determinado su “necesidad de conocer”, y

- ha recibido la instrucción de seguridad preceptiva. En cualquier caso, el jefe o responsable del organismo o entidad tiene la potestad de no

autorizar el acceso, aun cuando se den las condiciones necesarias anteriores, si estima o aprecia que pueda existir, en un momento concreto, un riesgo no aceptable en esa persona para la seguridad de la información.

Las personas que sólo necesiten acceder a información con clasificación “DIFUSIÓN

LIMITADA o equivalente” deberán haber sido instruidas en sus responsabilidades de seguridad y habrán de tener “necesidad de conocer”. No se necesitará HPS para acceder a la información con clasificación de dicho grado.

Las medidas de seguridad en el personal garantizarán que especialmente las siguientes

personas cumplen los requisitos de acceso a información clasificada:

- El personal que pertenece a un órgano de control, es decir, el personal que está permanentemente asignado al mismo.

- Los usuarios de los documentos clasificados del organismo, empresa, etc., al que sirve dicho órgano de control.

- El personal que trabaja en zonas de acceso restringido (ZAR).

- El personal que trabaja con sistemas de información y comunicaciones (CIS) en los que se maneja información clasificada.

- Los correos autorizados y personas que realizan el transporte de documentos, material o mercancías clasificadas.

- El personal que realiza las rondas de vigilancia fuera del horario laboral, que pudiera tener acceso a la información clasificada en el cumplimiento de sus misiones (por ejemplo, por acceso previsto en caso de emergencia).

- Pág. 52 de 97 -

Se establecerán procedimientos de control para las visitas que accedan a las ZAR y

el personal que tenga que realizar tareas de limpieza o de mantenimiento. En concreto:

- Facilitar escoltas para las visitas, y en el caso del personal de limpieza y mantenimiento que realice sus tareas dentro del horario laboral, se garantizará que esté presente el personal propio del órgano de control y que la documentación esté custodiada apropiadamente.

- Proveer de tarjetas de identificación y registrar los datos personales de identificación de las visitas. La instrucción de seguridad es otro aspecto fundamental dentro de la seguridad en el

personal. Según se indicó anteriormente, la formación en materia de seguridad para los usuarios de información clasificada contempla dos fases, ambas necesarias y obligatorias:

- Concienciación de seguridad.

- Instrucción de seguridad. La concienciación de seguridad se encuadra dentro del proceso de solicitud de la HPS

y es requisito previo para su concesión. Por otro lado, la instrucción de seguridad es requisito previo para el acceso efectivo

a la información clasificada. El propósito de la instrucción de seguridad es sensibilizar al individuo sobre la

necesidad de la seguridad, de la interiorización de los procedimientos para llevarla a efecto y de la asunción de sus responsabilidades personales. Consecuentemente el interesado, de forma consciente, adoptará las necesarias precauciones de seguridad como parte normal de sus cometidos.

La instrucción de seguridad se define como aquellas consignas y conocimientos que

deben ser impartidos a cada individuo para mantenerle informado de las amenazas contra la seguridad, hacerle consciente de sus vulnerabilidades y concienciarle de sus responsabilidades para prevenir unas y otras.

Debe ser un proceso continuo. El sujeto debe saber en todo momento qué es lo que

puede hacer dentro de su organización y, lo que es más importante, lo que no puede hacer, en relación con el manejo de la información clasificada.

Todas las personas autorizadas a acceder a información clasificada, o que tengan que

manejarla, serán alertadas, al menos una vez al año, sobre los peligros que entrañan para la seguridad las conversaciones indiscretas con personas que no tengan necesidad de conocer, su relación con los medios de comunicación y la amenaza que representan las actividades de los servicios de inteligencia extranjeros. Las personas serán advertidas de su obligación de notificar inmediatamente, a las autoridades de seguridad pertinentes, cualquier aproximación o maniobra que consideren sospechosa o fuera de lo corriente.

- Pág. 53 de 97 -

SEGURIDAD DE LA INFORMACIÓN

La seguridad de la información se obtiene cuando se aplica un conjunto de medidas y procedimientos para el correcto manejo de la información clasificada y para prevenir y detectar los posibles comprometimientos de la misma, que puedan afectar a su confidencialidad, integridad o disponibilidad. La información clasificada debe ser protegida y manejada a lo largo de todo su ciclo de vida de forma apropiada con su grado de clasificación.

Todo cuanto se ha tratado anteriormente sobre la información clasificada y su

clasificación, y lo que se va a tratar posteriormente sobre el manejo de la información clasificada, forma parte de lo que llamamos seguridad de la información.

Lo que sigue es un resumen de la reglamentación de seguridad para el acceso y manejo

de la documentación clasificada según los diferentes grados de clasificación. Información “SECRETO o equivalente”

- Como norma general no podrá extraerse del órgano de control: subregistro o punto de control autorizado por la ANPIC, para custodiar y manejar este tipo de información.

- Se almacenará en un contenedor de seguridad aprobado por la ANPIC, de forma separada del resto de la documentación clasificada, es decir, si en el contenedor se custodian otros documentos del mismo tipo, la información “SECRETO o equivalente” se guardaría en carpetas separadas y por tipos (según origen: nacional, OTAN, etc.).

- Sólo puede circular a través del Registro Central o servicio central de protección, según corresponda, nunca directamente entre órganos de control.

- Sólo el Registro Central está autorizado para la realización de copias y la destrucción de documentos.

- Cada vez que un usuario consulte un documento de grado máximo deberá firmar en la ficha de control y acceso que va unida al documento.

- Toda persona que vaya a acceder a información “SECRETO o equivalente” deberá figurar incluida previamente en la lista de control SECRETO/COSMIC/TOP SECRET de personal autorizado.

Información “RESERVADO o equivalente”

- Se manejará en zonas de acceso restringido, configuradas como clase I ó clase II.

- Se almacenará en contenedores de seguridad aprobados por la ANPIC. - Podrá circular directamente entre subregistros principales o entre servicios centrales de

protección, según corresponda. También podrá circular, excepto en el ámbito empresarial (salvo autorización expresa), entre subregistros secundarios, puntos de control y entre servicios generales o locales de protección, dependientes de un mismo órgano de control de nivel inmediato superior, al que informarán de los movimientos producidos, a efectos de control y registro.

- Su transmisión se realizará a través de correos oficiales de las organizaciones propietarias de la información clasificada respectivamente, diplomáticos o militares, o a través de sistemas de transmisión electrónica cifrados acreditados por la ANPIC, o servicios comerciales de transporte acreditados por la ANPIC..

- Pág. 54 de 97 -

- Sólo los órganos de control superiores están autorizados a realizar copias, que deberán ser controladas y registradas como un documento más, pudiendo delegar.

- Cada vez que se consulte se deberá firmar la ficha de control y acceso. Información “CONFIDENCIAL o equivalente”

- Se manejará en zonas de acceso restringido, clase I o clase II.

- Se almacenará en contenedores de seguridad aprobados por la ANPIC.

- Su transmisión se realizará de la misma forma que para la documentación RESERVADO, pero se pueden utilizar sistemas de transmisión electrónica cifrados autorizados específicamente para este grado por la ANPIC. Dentro del territorio nacional es posible el transporte personal de algunos documentos, siempre que se cuente con la autorización del jefe de seguridad del subregistro correspondiente.

- Sólo los órganos de control están autorizados a realizar copias que deberán ser registradas y controladas como un documento más.

Información “DIFUSIÓN LIMITADA o equivalente”

- Puede acceder a ella personal sin habilitación personal de seguridad, siempre que tenga necesidad de conocer por motivos de trabajo y haya sido instruido en las normas de seguridad.

- Podrá manejarse en zonas administrativas de protección, con mayores medidas de seguridad física si son instalaciones no oficiales.

- Se puede almacenar en muebles provistos de cerradura.

- Para su transmisión se pueden utilizar los mismos medios que para la transmisión de la información CONFIDENCIAL, pero además, dentro del territorio nacional se puede remitir a través del correo nacional certificado.

- Los usuarios por motivos de trabajo pueden realizar copias de la misma.

SEGURIDAD EN LOS SISTEMAS DE INFORMACIÓN Y COMUNICACIONES

Con el objetivo de conseguir una adecuada protección, se deberá aplicar en los sistemas de información y comunicaciones (CIS) un conjunto equilibrado de medidas de seguridad, de distinta naturaleza (técnicas, físicas, en el personal y documentales), que permitan la creación de un entorno seguro para el manejo de la información clasificada, sostenido en el tiempo.

Corresponde a la ANPIC, responsable de la protección de la información clasificada en

los ámbitos de su competencia, establecer cuáles habrán de ser las medidas de seguridad a implementar en los sistemas y verificar su correcta aplicación, a través de un proceso de evaluación.

Llegado el caso particular de un sistema dado, si el resultado de esta verificación es

satisfactorio, la ANPIC, o la autoridad en quien haya podido delegar, en tanto autoridad de acreditación de seguridad (AAS), procederá a la emisión de un certificado de acreditación para el sistema, por el que se le autoriza para el manejo de información clasificada de un tipo dado (OTAN, UE, etc.), hasta un determinado grado de clasificación, en las condiciones

- Pág. 55 de 97 -

establecidas. Los objetivos de seguridad perseguidos con la aplicación de medidas de seguridad en

los sistemas de información y comunicaciones son:

a) Proporcionar confidencialidad a la información manejada por el sistema.

b) Proporcionar integridad a la información manejada por el sistema, así como a los recursos y servicios del mismo.

c) Mantener la disponibilidad de la información manejada por el sistema, así como de los recursos y servicios del mismo.

d) Autenticar a las personas que acceden a la información manejada por el sistema o a los recursos del mismo.

e) Proporcionar al sistema el servicio de no repudio, mediante el cual es posible proporcionar la prueba de que una determinada acción ha sido realizada, no pudiendo los agentes participantes negar que se haya producido. La acreditación es, por tanto, el acto formal por el que la AAS, reconoce, tras el

proceso de acreditación, la capacidad de un sistema para manejar información clasificada de un determinado ámbito o propietario (nacional, OTAN, etc.), hasta un determinado grado de clasificación y en unas condiciones determinadas, para lo que otorgará el correspondiente certificado de acreditación, por el que se autoriza dicho uso. Conlleva unos procesos previos de acreditación técnica del sistema y de acreditación de la seguridad física, documental y en el personal, sobre la base de la documentación de seguridad del sistema y su entorno:

- Análisis de riesgos, concepto de operación, documento de requisitos de seguridad y procedimientos operativos de seguridad del sistema.

- Plan de protección de la ZAR para información clasificada de grado “CONFIDENCIAL o equivalente” o superior. Cuando la información manejada es de grado “DIFUSIÓN LIMITADA o equivalente”, las instalaciones deberán constituirse como zonas administrativas de protección. Como resultado de cada proceso de acreditación, la AAS podrá resolver en uno de los

siguientes sentidos:

- Acreditación de seguridad (AS): Declaración de acreditación para un periodo de tiempo especificado, en las condiciones operativas y ámbitos reflejados en la documentación correspondiente. Según la clasificación de la información que manejen los sistemas acreditados, se establece el período máximo de validez de una acreditación, independientemente de las evaluaciones que puedan sufrir. Se establece un período máximo de la validez de las acreditaciones de todos los sistemas de treinta y seis (36) meses, independientemente del grado de clasificación de la información que manejen.

- Autorización provisional de seguridad (APS): Declaración de acreditación parcial, por un plazo de tiempo limitado (normalmente hasta seis -6- meses, y nunca superior a un -1- año), motivada por la existencia de deficiencias leves determinadas durante el proceso de acreditación.

- Pág. 56 de 97 -

- Acreditación para pruebas (AP): Autorización para poder operar el sistema para la realización de pruebas técnicas (funcionales y de seguridad), sin manejar información clasificada, aunque integrado o interconectado con otras redes o sistemas clasificados. Debe estar redactada toda la documentación de seguridad del sistema.

- Denegación: No se autoriza al sistema a operar. Expresa las deficiencias graves específicas y las acciones correctivas que deben llevarse a cabo.

- Cancelación: Situación en la que se deja en suspenso o se revoca permanentemente la acreditación de que ya disponía ese sistema. Se comunicarán las deficiencias encontradas y las acciones correctivas para solucionarlas.

La AAS seguirá supervisando las disposiciones de seguridad de los sistemas bajo su

responsabilidad, principalmente llevando a cabo nuevas valoraciones de los riesgos e inspecciones/revisiones periódicas de las disposiciones de seguridad en vigor, de acuerdo con los requisitos de las políticas de seguridad. Los sistemas autorizados deberán someterse a las inspecciones y análisis de seguridad que la AAS considere oportunos para poder asegurar que se cumple lo estipulado en la documentación de seguridad del sistema.

La acreditación tiene un carácter temporal, por lo que deberá renovarse siempre que

transcurra su plazo de validez o que se produzcan cambios que supongan una modificación suficientemente relevante de las condiciones de seguridad.

Todo cambio significativo en las condiciones de seguridad del sistema invalida su

acreditación. Se deberá informar con antelación a la AAS de cualquier cambio previsto en la configuración del sistema, en sus requisitos de operación o en el grado de clasificación de la información que va a manejar. La AAS aconsejará sobre las implicaciones que los mencionados cambios puedan tener para la seguridad de la información clasificada manejada por el sistema.

MANEJO DE LA INFORMACIÓN CLASIFICADA

CLASIFICACIÓN Y REGISTRO DE LA INFORMACIÓN

Por clasificación se entiende el acto formal por el cual la autoridad de clasificación, u órgano legislativo, asigna a una información un grado de clasificación en atención al riesgo que supone su revelación no autorizada para la seguridad y defensa del Estado o sus intereses, con la finalidad de protegerla.

En este sentido, según se determina en el artículo 2 de la Ley de Secretos Oficiales,

tendrán carácter de información clasificada, sin necesidad de previa clasificación por una autoridad de clasificación, las materias que así sean declaradas por Ley.

La clasificación se puede aplicar sobre un asunto o tema más o menos general, o sobre

una documentación o material no documental concreto. En cualquier caso, la autoridad de clasificación, u órgano legislativo, deberá sopesar, asesorado por personal experto en el tema, las implicaciones que dicha clasificación conlleva respecto a la complejidad del manejo y protección de la información una vez clasificada, en aras de evitar por todos los medios la posible sobreclasificación de la información.

- Pág. 57 de 97 -

Toda información que se considere que deba ser protegida de revelación no autorizada y de la que no exista una norma de ley, directiva o diligencia, previa, que la clasifique, deberá someterse a un proceso de clasificación mediante la confección de la correspondiente propuesta de clasificación, que será presentada a la autoridad de clasificación, al objeto de obtener su aprobación mediante la emisión de la correspondiente diligencia de clasificación.

La propuesta de clasificación es el documento por el que se somete a aprobación por

la autoridad de clasificación correspondiente, la asignación de un grado de clasificación a informaciones individuales o agrupadas en un conjunto, así como su vigencia. Puede ir acompañada de una guía de clasificación.

La diligencia de clasificación es el documento por el que se certifica la aprobación, por

la autoridad de clasificación, de una propuesta de clasificación y se definen las condiciones de aplicación.

La guía de clasificación es el documento que enumera y describe los elementos

clasificados de un asunto, contrato o programa clasificado, con especificación de los grados de clasificación asignados a cada uno de ellos. Recoge los datos relevantes de la información clasificada (los grados de clasificación asignados, las vigencias de las clasificaciones, las autoridades facultadas que la han clasificado, etc.), y sirve de referencia para el marcado de los documentos.

La directiva de clasificación es el documento mediante el cual la autoridad de

clasificación asigna un grado de clasificación a la información que, por su naturaleza, y a juicio de la citada autoridad, no requiera la elaboración de la propuesta de clasificación, constituyéndose formalmente en diligencia de clasificación.

Toda información clasificada deberá llevar su marca de grado de clasificación

estampillada o unida a la misma, salvo imposibilidad física u operativa derivada de las características del material o del uso previsto.

Toda información registrable que se marque como clasificada, sólo adquirirá

formalmente dicho carácter cuando esté correctamente anotada en un registro, para su distribución posterior. Esta función de registro compete a los órganos de control, que serán los únicos órganos autorizados a dar de alta nueva información clasificada y de marcarla como tal, una vez registrada.

Los usuarios no podrán dar de alta nueva información clasificada ni aplicar marcas de

clasificación a documentos, por ser competencia exclusiva de los órganos de control. Únicamente podrán indicar su propuesta de clasificación, conforme a normas internas de su organismo o entidad, para que dicha información sea protegida hasta que se le asigne la clasificación final por el órgano de control competente.

Los borradores, copias previas, anotaciones, grabaciones en soportes u otra información

adicional que se puedan haber generado previamente para obtener la versión final registrable, tendrán también la consideración de información clasificada, y deberán ser destruidos en plazo breve con procedimientos aprobados para el grado de clasificación de que se trate. En tanto no se produzca su destrucción, se les dará la protección adecuada conforme a su grado de clasificación, aunque no estén marcados.

- Pág. 58 de 97 -

DISTRIBUCIÓN DE LA INFORMACIÓN CLASIFICADA

La información clasificada de grado “equivalente a DIFUSIÓN LIMITADA” o superior, intercambiada con organizaciones internacionales u otros estados, deberá entrar o salir de la estructura nacional de protección a través del Registro Central, o por otro medio de transmisión (físico o tecnológico) autorizado por la ANPIC.

Dentro de España, en el ámbito de las Administraciones y Fuerzas Armadas, y su

personal, la información clasificada con grado “DIFUSIÓN LIMITADA o equivalente” puede circular libremente entre órganos de control y entre usuarios, siempre que no existan limitaciones previas a su difusión y que los destinatarios cumplan las condiciones de acceso (tener necesidad de conocer y haber sido instruidos en el manejo de la información clasificada), y las de manejo y custodia establecidas en estas normas para dicho grado, siendo responsabilidad de quien la entrega verificar que se cumplen dichas condiciones por parte del destinatario.

En el ámbito de la seguridad industrial, la información clasificada de grado

“DIFUSIÓN LIMITADA o equivalente” puede circular entre usuarios de empresas contratistas únicamente si éstos, además de cumplir los requisitos del apartado anterior, son empleados del mismo contratista.

La distribución de la información clasificada controlada, definida como la de grado

“CONFIDENCIAL o equivalente” o superior, siempre se efectuará entre órganos de control, y nunca entre usuarios. En cualquier caso, estos órganos deberán verificar previamente que los contactos directos, o los envíos que se realicen, estén autorizados, y no existan limitaciones a dicha distribución.

En el caso de que información clasificada controlada tenga un destinatario concreto, el

órgano de control al que llegue la información se lo comunicará al interesado, quien los examinará en las instalaciones autorizadas. Si de este examen el usuario deduce que los va a necesitar más tiempo, solicitará la autorización correspondiente al jefe de seguridad, quien determinará las condiciones y el plazo en los que podrá extraer la información del órgano de control. Esta autorización no se podrá conceder al personal de empresas contratistas, salvo de forma extraordinaria y con medidas adicionales de control.

En casos excepcionales en los que una persona, titular de una habilitación de seguridad

adecuada, y con la debida acreditación para el transporte de documentación, si fuera el caso, reciba directamente información clasificada de grado “CONFIDENCIAL o equivalente” o superior, bien porque ha sido dirigida nominalmente a él, o bien porque le sea entregada personalmente en mano (por ejemplo con ocasión de asistencia a una reunión), deberá inexcusablemente efectuar su registro inmediato ante el órgano de control del que dependa, el cual, si el tipo y grado de clasificación de la información lo requiere, la elevará al órgano de control superior para que se proceda a su correspondiente regularización.

Como resumen, y con carácter general, podemos indicar que el usuario asume las

siguientes obligaciones:

- No difundir información clasificada, ya sea en forma oral o escrita, a ningún otro usuario sin la autorización del jefe de seguridad de su órgano de control.

- Pág. 59 de 97 -

- No introducir ni extraer de España documentos de ningún grado de clasificación al margen de la infraestructura nacional.

CONSULTA

Como norma general los documentos con clasificación “CONFIDENCIAL o equivalente”, o superior, no se custodiarán fuera del órgano de control, realizándose la consulta de los mismos en las instalaciones de éste, o en zonas de acceso restringido autorizadas para dicho fin. En los casos excepcionales en que un usuario necesite disponer de documentos clasificados en su puesto de trabajo, solicitará la autorización del jefe de seguridad, quien podrá autorizarlo, por un plazo determinado, siempre que se cumplan las condiciones de seguridad requeridas para la custodia de dicha documentación según su grado de clasificación.

CONTROL DE ACCESO A LA INFORMACIÓN CLASIFICADA Debido a que la información “RESERVADO o equivalente”, o superior, es información

imputable, es preceptivo que los documentos con este grado de clasificación lleven unida una ficha de control y acceso, donde queden registrados todos los accesos a los mismos. Cuando un usuario acceda a un documento con estos grados de clasificación deberá firmar en dicha ficha, una vez rellena con sus datos y la fecha y hora inicial y final de acceso.

El objetivo de esta práctica es proveer de suficiente información para poder realizar una

investigación en el caso en que se produzca un comprometimiento de la información imputable, es decir, una pérdida de la misma o su revelación a personas no autorizadas.

Tratándose de documentos de grado de clasificación inferior será el jefe de seguridad

quien determine la forma en que se controla el acceso a los mismos.

REPRODUCCIÓN, TRADUCCIÓN Y EXTRACTO DE LA INFORMACIÓN CLASIFICADA

Con la finalidad de evitar la reproducción o copia incontrolada de información clasificada, así como las traducciones y extractos, se establecen una serie de medidas por las que se regula dicha actividad, de manera que no se realice más que cuando sea estrictamente necesario y en la forma que se establece en esta norma.

Cada órgano de control es responsable del registro y control de las copias, traducciones

y extractos que realice, informando al órgano superior cuando sea información clasificada imputable. En el caso de empresas contratistas, también existe la obligación de informar en el caso de información clasificada de grado “CONFIDENCIAL o equivalente”.

Todas las copias, traducciones y extractos deberán quedar perfectamente identificadas,

de forma unívoca y exclusiva. Para ello, lo normal será añadir a la referencia del documento un número de copia, traducción o extracto, sucesivo y diferente para cada una que se realice del mismo documento. Este número deberá figurar en el registro que se haga del nuevo documento creado.

- Pág. 60 de 97 -

Para mantener la trazabilidad de las numeraciones de copias, traducciones o extractos,

que se vayan realizando, se deben seguir unos criterios concretos y conocidos, que permitan identificar al documento fuente, el órgano que realiza la copia, traducción o extracto, y el orden consecutivo que le corresponde.

Las reproducciones y traducciones se registrarán y numerarán como un documento

clasificado más y tienen la misma consideración que el original. A efectos de control de la documentación, no existen diferencias entre original y copia.

Las reproducciones o copias, traducciones y extractos de información clasificada,

siempre se realizarán bajo la estricta observación del principio de la “necesidad de conocer”, aplicándose a los nuevos documentos generados las mismas medidas de seguridad que se aplican al original, y prestando especial atención a aquellas generadas sobre sistemas y soportes informáticos.

El usuario está autorizado a realizar las copias, extractos y traducciones de documentos

con grado de clasificación “DIFUSIÓN LIMITADA o equivalente” y NATO UNCLASSIFIED / LIMITE UE / ESA UNCLASSIFIED, siempre que se asegure su control de forma que no se produzcan accesos no autorizados a los mismos.

El jefe de seguridad de su órgano de control es quien tiene que autorizar o solicitar las

reproducciones, traducciones y extractos de documentos con grados de clasificación CONFIDENCIAL y RESERVADO, o equivalentes.

Los documentos de grado “equivalente a SECRETO” no podrán ser reproducidos. En

caso de necesitarse copias estas se solicitarán a través del Registro Central.

DESTRUCCIÓN DE LA DOCUMENTACIÓN CLASIFICADA

Con objeto de evitar una acumulación excesiva de información clasificada que dificulte su pronta localización y su explotación eficaz, se propondrá la destrucción de aquella que los usuarios juzguen inútil o haya quedado obsoleta, en cuanto sea posible, y siempre en conformidad con los criterios que el Sistema Español de Archivos, que se regula por Real Decreto 1708/2011, disponga, conforme más adelante se indica.

El Sistema Español de Archivos establece la existencia de Comisiones Calificadoras de

Documentos Administrativos, que serán los órganos que resuelvan sobre la eliminación o conservación permanente de documentos.

En tanto no exista una regulación normativa adecuada, la información clasificada que,

por resolverse su conservación permanente, deba transferirse a un archivo superior (archivo general, central, intermedio o histórico), solo podrá ser transferida en caso de que dicho archivo superior disponga de un órgano de control para custodia y registro de dicha información.

En el ámbito empresarial, los órganos de control de empresas contratistas, en ningún

caso podrán destruir información clasificada controlada recibida de la Administración. Cuando no les sea necesaria su conservación la transmitirán al órgano de control de la administración

- Pág. 61 de 97 -

responsable de dicha información. La destrucción de información clasificada se realizará con controles exhaustivos en

dicho proceso y deberá ser efectuada de forma que se imposibilite su reconstrucción total o parcial. Estos controles se aplicarán con igual criterio sea un documento clasificado original o se trate de una copia, traducción o extracto.

Sólo los documentos con grado de clasificación “DIFUSIÓN LIMITADA o

equivalente” y NU pueden ser destruidos directamente por el usuario, sin la autorización del jefe de seguridad del órgano de control, siempre que se utilice un procedimiento de destrucción aprobado.

El jefe de seguridad del órgano de control es el único que puede autorizar o solicitar la

destrucción de cualquier documento con grado de clasificación “CONFIDENCIAL o equivalente”, o superior, cuya destrucción haya sido previamente decidida por el usuario.

TRANSMISIÓN DE LA INFORMACIÓN CLASIFICADA

El envío por cualquier medio, sea físico o tecnológico, de información clasificada de un remitente a un destinatario, bien personas o bien órganos de control, constituye una transmisión de información clasificada.

Esta transmisión se puede hacer con medios físicos, como puede ser el correo postal,

transporte personal, correo oficial diplomático o militar, etc., que es lo que se conoce habitualmente como transporte, y también puede realizarse por medios tecnológicos, por ejemplo: transmisión por fax, teléfono u otras tecnologías de la información y de las comunicaciones.

La seguridad de la transmisión por medios tecnológicos es objeto de una norma

específica de la ANPIC sobre seguridad en los sistemas de información y comunicaciones (NS/05). Se utilizarán tecnologías de la información y de las comunicaciones (TIC) autorizadas para el grado de la información clasificada que se vaya a transmitir.

Como norma general, el método preferible de transmisión de información clasificada,

no sólo por cuestiones de inmediatez, sino también por la mayor seguridad y menor riesgo que supone, será el de transmisión por medios tecnológicos.

En segunda preferencia estará el transporte en soportes informáticos protegidos por un

producto criptológico aprobado, del grado adecuado. En este caso tendrá el mismo tratamiento y se podrá transportar por los mismos medios que si se tratara de información no clasificada, por lo que no precisará medidas especiales de protección de la confidencialidad. No obstante, cuando se transporte en mano, el portador llevará las autorizaciones necesarias que le identifiquen como persona autorizada, aunque no precise de HPS.

En toda transmisión hay un remitente y un destinatario (o varios). Remitente es la

persona autorizada o cargo concreto, organismo o entidad que decide o inicia el envío de una información clasificada. Podrá ser de origen, si es quien ha confeccionado la información que se transmite, o no serlo, cuando simplemente transmita, a un tercero, información recibida anteriormente de otro remitente. En cualquier caso, cumplirá con las limitaciones de difusión

- Pág. 62 de 97 -

que fije el propietario de la información. Destinatario es la persona o cargo concreto, organismo o entidad final a la que se envía dicha información clasificada.

El remitente de origen decide y prepara la información clasificada a transmitir,

identifica claramente al destinatario, y entrega todo ello al órgano de control del que dependa, que registra la salida y la pasa a transmisión (CECOM, servicio de transporte, etc.).

El remitente es responsable de verificar que el órgano de control de destino está

autorizado para el tipo, grado y especialidad de la información clasificada que le va a remitir. El órgano de control de destino registra la entrada de la información clasificada. Para la

entrega al destinatario final actuará conforme a la normativa específica para la información que se trate, teniendo en cuenta las instrucciones especiales de tramitación que pueda haber.

En las dos tablas siguientes se resumen los medios de transporte, autorizados para el

envío de información clasificada en claro, con sus limitaciones, en función del territorio y del grado de clasificación. En la norma NS/04 de las Normas de la ANPIC se explican estos en mayor detalle, siendo competencia del órgano de control el elegir o solicitar el más adecuado, entre los disponibles.

Transporte Nacional SECRETO O EQUIVALENTE

RESERVADO O EQUIVALENTE

CONFIDENCIAL O EQUIVALENTE

DIFUSION LIMITADA O EQUIVALENTE

VALIJA CONDUCIDA Registro Central o Servicio Central de

Protección SÍ SÍ SÍ

VALIJA NO CONDUCIDA MILITAR O GUBERNAMENTAL NO Sólo

RESERVADO SÍ SÍ

SERVICIO COMERCIAL ACREDITADO DE CORREO Y DE TRANSPORTE

NO SÍ SÍ SÍ

TRANSPORTE PERSONAL O DE MERCANCÍAS (con HPS y autorización)

NO Con carácter limitado (10 doc.) SÍ SÍ

SERVICIO COMERCIAL CON TRAZABILIDAD DE ENVÍO NO NO SÍ SÍ

TRANSPORTE PERSONAL O DE MERCANCÍAS (sin HPS ni autorización)

NO NO NO SÍ

SERVICIO CORREO ESTATAL (por correo certificado) NO NO NO SÍ

- Pág. 63 de 97 -

Transporte internacional SECRETO O EQUIVALENTE

RESERVADO O EQUIVALENTE

CONFIDENCIAL O EQUIVALENTE

DIFUSION LIMITADA O EQUIVALENTE

VALIJA CONDUCIDA Ver

condiciones arriba

SÍ SÍ SÍ

VALIJA NO CONDUCIDA DIPLOMÁTICA O MILITAR NO Sólo RESERVADO SÍ SÍ

SERVICIO COMERCIAL ACREDITADO DE CORREO Y DE TRANSPORTE

NO SÍ SÍ SÍ

TRANSPORTE PERSONAL O DE MERCANCÍAS (con HPS y autorización)

NO Con carácter excepcional (3 doc.)

Con carácter limitado (10 doc.) SÍ

SERVICIO COMERCIAL CON TRAZABILIDAD DE ENVÍO NO NO SÍ SÍ

TRANSPORTE PERSONAL O DE MERCANCÍAS (sin HPS y con autorización)

NO NO NO SÍ

SERVICIO CORREO ESTATAL (por correo certificado) NO NO NO SÍ

TRANSPORTE PERSONAL DE DOCUMENTACIÓN CLASIFICADA

Por transporte personal se entenderá el realizado por una persona que, sin ser éste su cometido oficial, es específicamente autorizada, y transporta directamente la información clasificada, bajo su continua supervisión. El material clasificado a transportar deberá ser de tal tamaño, peso y configuración que pueda ser llevado en mano.

Dado el especial riesgo que este tipo de transporte lleva asociado, por la falta de una

dedicación habitual a estos cometidos por el portador, es necesario dar unas instrucciones precisas de obligado cumplimiento en su ejecución.

Como norma general se deberá tratar de hacer un ejercicio de previsión, de forma que,

si es posible, toda aquella información clasificada de grado “CONFIDENCIAL o equivalente” o superior, que se prevea vaya a ser necesario utilizar en una actividad en otro emplazamiento, especialmente en el extranjero, se remita con la antelación suficiente por canales seguros al órgano responsable de la seguridad de la información del evento u otro próximo acreditado, de forma que el personal participante pueda recoger dicha información una vez en el destino.

En ningún caso se autorizará ni realizará un transporte personal de información de

grado “SECRETO o equivalente”. Cuando con motivo de asistencia a una actividad o reunión clasificada en otro

emplazamiento, especialmente en el extranjero, se prevea o conozca que durante la misma se va a hacer entrega en mano de información clasificada al asistente, para su transporte personal de regreso, se le proveerá en origen del correspondiente certificado de correo, que devolverá a su regreso, junto con la información clasificada recibida, al órgano de control responsable.

Cuando dicha entrega de información clasificada no esté prevista y, aún así, se haga

entrega de ella al representante español participante, éste notificará al oficial de seguridad del evento la conveniencia de transmitir dicha información por un canal aprobado, no estando autorizado a hacer el transporte personal, salvo que no haya otra vía posible, en cuyo caso

- Pág. 64 de 97 -

deberá proveerle de una autorización formal (si es en el extranjero: certificado de correo con sello oficial, debidamente relleno), que avale al portador en su transporte personal, y deberá entregarle asimismo la información debidamente empaquetada y precintada. En otro caso, no se recogerá la información, devolviéndola al oficial de seguridad.

Cuando haya que hacer uso del transporte personal, se debe asegurar el cumplimiento

de las siguientes condiciones:

a) El transporte es conforme con los circuitos de distribución de la información clasificada.

b) Se ha expedido la autorización necesaria para el transporte, con las formalidades requeridas según el grado de clasificación de la información a transportar y el tipo de transporte (nacional o internacional). Según el caso, podrá ser en forma de certificado de correo, autorización formal, o no ser precisa autorización.

c) El portador dispone de habilitación de seguridad, cuyo grado de clasificación, tipo y especialidad se adecuan a la información que va a transportar.

d) Los materiales clasificados a transportar se registran en el órgano de control del que dependa el usuario, tanto a la ida como a la vuelta.

e) Los materiales clasificados a transportar, tanto a la ida como a la vuelta, van en un sobre precintado preparado por el órgano de control, y en el interior de una cartera o maleta cerrada con llave, provista de una etiqueta de identificación personal.

f) El portador no se separa de la información, salvo cuando la deposite en un lugar seguro (órgano de control exterior, u otros designados) y no los deja sin vigilancia en el lugar de alojamiento, ni en los medios de transporte. Si el portador estima que hay condiciones adecuadas y no existen riesgos, podrá depositar información de grado “DIFUSIÓN LIMITADA o equivalente” o inferior, en cajas de seguridad de los hoteles o en las consignas, dentro de sobres precintados, que impidan intuir el contenido y permitan detectar su posible manipulación.

g) Los documentos no se leen en lugares públicos, como aviones, trenes, autobuses, restaurantes, estaciones, aeropuertos, etc.

h) El portador ha sido instruido y conoce las normas de seguridad a adoptar durante el transporte, dando fe con su firma en una declaración de instrucción. Dentro del territorio nacional, la información clasificada con grado “CONFIDENCIAL

o equivalente” o inferior, puede ser transportada por una persona con habilitación de seguridad del grado apropiado, y la autorización correspondiente, formal y por escrito, del jefe de seguridad del órgano de control de quien dependa, cuando esté autorizada su circulación. En el ámbito industrial esta autorización irá obligatoriamente como certificado de correo. Con carácter limitado podrá autorizarse de igual forma el transporte personal de información con grado “RESERVADO o equivalente” (hasta diez documentos máximo, como norma general). Para el transporte personal nacional de información clasificada con grado “DIFUSIÓN LIMITADA o equivalente”, no es necesaria habilitación de seguridad, ni autorización expresa, siempre que se haga en el cumplimiento de cometidos oficiales y no existan limitaciones a su circulación.

Cuando el transporte personal es con motivo de la asistencia a actividades clasificadas

en el extranjero, la información “DIFUSIÓN LIMITADA o equivalente” podrá ser

- Pág. 65 de 97 -

transportada por una persona, con o sin habilitación de seguridad, instruida en su manejo, y con la autorización correspondiente, formal y por escrito, del jefe de seguridad del órgano de control de quien dependa.

Con el mismo fin, se podrá autorizar a una persona, con habilitación de seguridad

adecuada, a transportar información clasificada de grado “CONFIDENCIAL o equivalente” (hasta diez documentos máximo) y, con carácter excepcional, de grado “RESERVADO o equivalente” (hasta tres documentos máximo). En estos casos, se tendrá en cuenta:

a) El portador debe estar provisto de un certificado de correo (según formato publicado en la página “web” de la ONS, en inglés o en español según las circunstancias) con sello oficial del Registro Central, documento que debe estar reconocido por todos los países del ámbito de información de que se trate, que le autorice a transportar información clasificada, para acreditar su condición ante cualquier control policial o aduanero que pretenda la apertura de la cartera o maleta. Los jefes de seguridad de los subregistros principales o de servicios centrales o generales de protección, solicitarán al Registro Central los certificados de correo con sello oficial que precisen, siendo éstos los únicos válidos para esta función. En determinados ámbitos, programas o contratos, internacionales se podrán utilizar otros modelos específicamente autorizados y reconocidos en la normativa de seguridad aplicable.

b) Los jefes de seguridad de los órganos de control serán los oficiales de autorización que firman los certificados de correo para el transporte en mano de información con grado de clasificación “CONFIDENCIAL o equivalente”. Para grado “RESERVADO o equivalente” deberá firmar como oficial de autorización el jefe de seguridad del subregistro principal o secundario, o del servicio central o general de protección del que dependa, salvo de empresas contratistas. El Jefe del Registro Central podrá autorizar con su firma cualquier certificado de correo. Para las empresas contratistas podrán asumir las competencias de oficial de autorización los responsables de la administración más directamente implicados en los proyectos o programas (por ejemplo, el jefe del órgano de control de la oficina del programa) en que participan las mismas.

c) A la finalización de la actividad para la que se emitió, se devolverá el certificado de correo al órgano de control que lo autorizó, junto con la documentación complementaria generada (documentos de envío y declaración final), debidamente cumplimentada.

d) El portador no viajará por vía terrestre a través de países que sean ajenos al tipo o ámbito de la información transportada, ni sobrevolará o navegará por países que representen riesgos para la seguridad. En caso de duda, la ANPIC determinará qué países se incluyen en esta categoría.

MANEJO DE LA INFORMACIÓN CLASIFICADA EN SISTEMAS CIS

El manejo de información clasificada en un sistema requerirá la autorización para ello por la autoridad de acreditación de seguridad (AAS). Previamente el sistema deberá seguir un proceso de acreditación y ser acreditado.

- Pág. 66 de 97 -

Todo usuario que deba manejar información clasificada en un sistema de información y comunicaciones, además de los requisitos generales para el acceso a la información del grado de clasificación de que se trate, deberá cumplir los siguientes:

- Haber leído y entendido los procedimientos operativos de seguridad del sistema, dejando constancia firmada de ello, y ejecutarlos en la parte que le corresponda.

- Haber leído y entendido el plan de protección de la ZAR donde se despliega el sistema, dejando constancia firmada de ello, y ejecutarlo en la parte que le corresponda. Los sistemas que manejen información clasificada deben trabajar en lo que se

denominan modos seguros de operación. Dichos modos vienen determinados por la autorización y la necesidad de conocer de los usuarios, y por el mayor grado de clasificación de la información manejada en el sistema.

Estos modos determinan la forma en la que un sistema que maneje información

clasificada debe llevar a cabo el control de acceso y la separación de la información. De esta forma se pueden definir los siguientes modos seguros de operación:

- Dedicado: Es aquel modo en el que todo el personal con acceso al sistema:

• está autorizado para acceder al grado más elevado de clasificación de la información manejada en el sistema,

• y además posee la misma necesidad de conocer. • La separación de los datos no es un requisito del sistema.

- Unificado al nivel superior: es aquel en el que las personas con acceso al sistema:

• están autorizadas para acceder al grado más elevado de clasificación de la información manejada en el sistema,

• no todos tienen la misma necesidad de conocer, • la necesidad de conocer se garantiza por medio de procesos informales, que

hacen que el sistema realice la separación de datos de una de manera fiable, disponga de un control de accesos selectivo a la información conforme a la diferente “necesidad de conocer” y cumpla con lo establecido en la normativa de seguridad vigente y en sus políticas correspondientes fundamentalmente por medios procedimentales.

- Compartimentado: es aquel en el que las personas con acceso al sistema:

• están autorizadas para acceder al grado más elevado de clasificación de la información manejada en el sistema,

• no todos tienen la misma necesidad de conocer, • la necesidad de conocer se garantiza por medio de una autorización formal para

acceder a la información manejada en el sistema, y se materializa, además de en una gestión centralizada formal para el control de accesos, en el uso de herramientas y mecanismos adicionales que refuercen globalmente el cumplimiento de las políticas y la normativa de seguridad.

- Pág. 67 de 97 -

- Multinivel: Es aquel modo de operación en el que el sistema:

• maneja información con diferentes grados de clasificación, • permite el acceso selectivo y simultáneo a dicha información al personal

autorizado con diferentes grados de clasificación y distintas necesidades de conocer,

• realiza de manera fiable la completa separación de los datos y el control del acceso selectivo.

Este modo de operación no es de aplicación para los sistemas acreditados para manejar

información DIFUSIÓN LIMITADA o equivalente. A los usuarios del sistema sólo se les concederán los privilegios y autorizaciones que

necesiten para llevar a cabo sus tareas y cometidos. Deberán estar habilitados sólo hasta el mayor grado de clasificación de la información de la que éstos tengan necesidad de conocer.

CONTROL Y MANEJO DE LOS SOPORTES INFORMÁTICOS

La información clasificada requiere ser protegida no sólo cuando se encuentra en el interior de un sistema CIS, donde se almacena o procesa, sino también cuando se extrae del mismo y se convierte en un documento bajo soporte informático.

Todos los soportes externos o removibles, en caso de contener información clasificada,

estarán marcados para el grado máximo de clasificación alguna vez contenida, y tendrán la consideración de documentos. Si es información clasificada controlada (“CONFIDENCIAL o equivalente” o superior) estarán identificados de forma unívoca, registrados en el órgano de control del que dependan y, cuando se constituyan como un medio de almacenamiento, irán acompañados de un listado de contenido o fichero que detalle, como mínimo, la relación nominal de documentos de grado “RESERVADO o equivalente” o superior, que contiene.

Los soportes fijos (discos duros internos, discos ópticos, etc.) en que se maneje

información clasificada controlada, estarán igualmente marcados, localmente registrados y controlados, conforme al grado máximo de clasificación de la información que hayan podido contener. Aunque fijos, están sujetos a procesos de sustitución por avería, o de enajenación del sistema, o lo que supone un mayor riesgo, de reutilización posible en otra función. En estos casos siempre se hará un borrado seguro del soporte.

COMPROMETIMIENTO DE LA INFORMACIÓN CLASIFICADA

Un comprometimiento (violación o fallo) de la protección de la información clasificada ocurre como resultado de una acción u omisión contraria a la normativa de seguridad, o por un fallo en los sistemas o medidas de protección, que puede suponer que aquella caiga, completa o en parte, en manos de persona no autorizada, e incluso, sin llegar a ocurrir tal cosa, que las circunstancias hayan ocasionado la simple posibilidad de que tal evento hubiera ocurrido.

- Pág. 68 de 97 -

También tendrán la consideración de comprometimiento los ataques contra la integridad o disponibilidad de la información clasificada, especialmente en el ámbito de los sistemas de información y comunicaciones.

Diremos que la información clasificada ha resultado comprometida cuando, como

resultado de un comprometimiento de la protección, bien se ha producido una posibilidad de acceso a la misma por persona no autorizada y no puede determinarse de forma fehaciente que tal acceso no se haya producido, o bien se ha perdido el control sobre dicha información, por ejemplo por su pérdida, sustracción o indisponibilidad.

Por “persona no autorizada” se entenderá cualquiera que no cumpla los requisitos de

acceso a determinada información clasificada, por lo que incluye también al personal de la propia organización (por ejemplo, personal que no tiene necesidad de conocer sobre un determinado asunto clasificado).

Todo usuario de información clasificada está obligado a informar inmediatamente a su

oficial o responsable de seguridad, por el canal adecuado, de cualquier comprometimiento que pueda conocer.


- Pág. 69 de 97 -

ANEXO III: INSTRUCCIÓN DE SEGURIDAD CRIPTO Se adjunta un documento separable al objeto de que pueda desglosarse o copiarse como manual de instrucción del personal, separado del presente documento que es para uso exclusivo de los instructores. Es requisito obligatorio el que, antes de recibir esta instrucción de seguridad CRIPTO, el usuario haya recibido la concienciación de seguridad y la instrucción de seguridad, relativas a la protección de la información clasificada.

- Pág. 70 de 97 -

INSTRUCCIÓN DE SEGURIDAD CRIPTO

INTRODUCCIÓN

El objeto del presente documento es dar la instrucción básica necesaria para poder manejar material de cifra como usuario y, asimismo, constituir el manual para recibir la instrucción CRIPTO, dentro del proceso de solicitud de una habilitación personal de seguridad (HPS) con la especialidad CRIPTO (o autorización criptológica). Este manual debe ser complementado con los procedimientos concretos relativos al material de cifra que se va a manejar y que deban ser ejecutados por el usuario que está siendo instruido, los cuales, por depender de diferentes ámbitos y con procedimientos específicos, no se contemplan en esta instrucción.

El personal que vaya a ocupar cargos de responsabilidad en el manejo de material de

cifra, como pueden ser el criptocustodio o el alterno criptocustodio, deberá recibir una instrucción específica en dichos cometidos, siendo el presente manual insuficiente para aportar la formación necesaria para ocupar dichos puestos.

En este documento se contienen requisitos mínimos para el manejo y control del

material de cifra y las instrucciones básicas por las que se regulan los procedimientos de seguridad criptológica, así como las medidas a adoptar por los usuarios de dichos sistemas para preservar la seguridad física y criptológica del material de cifra.

El manejo del material de cifra está regulado en la normativa específica que le es de

aplicación en función de su procedencia (nacional, OTAN, UE, etc.). No se permite el empleo de normas o procedimientos menos estrictos, aunque los jefes o responsables de los correspondientes departamentos, organismos o entidades pueden imponer requisitos adicionales sobre aquellos artículos que se encuentren bajo su contabilidad.

El material de cifra se manejará habitualmente en las cuentas de cifra, centros de cifra,

centros de comunicaciones, puntos de acceso remotos o estaciones aisladas de enlace, zonas de acceso restringido donde se ubican sistemas de información y comunicaciones, etc. En todos ellos, las condiciones de seguridad deben estar debidamente implantadas y acreditadas y existir la figura del responsable de seguridad, así como una estructura de seguridad criptológica.

SEGURIDAD CRIPTOLÓGICA

La seguridad de las tecnologías de la información y comunicaciones o STIC, es el resultado de un conjunto de medidas, entre ellas las criptológicas, orientadas a proteger la información almacenada, procesada o transmitida por sistemas de información y comunicaciones, de manera que se aseguren o garanticen la confidencialidad, integridad y disponibilidad de la información y la integridad y disponibilidad de los propios sistemas.

Dependiendo del sistema donde se encuentre la información, hablaremos de la

Seguridad de los Sistemas de Información (SSI), Seguridad de los Sistemas de

- Pág. 71 de 97 -

Comunicaciones (COMSEC) y Seguridad Electrónica (ELSEC). En todos ellos se pueden emplear procedimientos criptológicos para asegurar que la información está protegida.

La criptología es la ciencia que estudia la ocultación, disimulación o cifrado de la

información, así como el diseño de sistemas que realicen dichas funciones, e inversamente, la lógica y álgebra aplicada para la obtención de la información protegida.

En este sentido, la seguridad criptológica es una componente de la seguridad de las

tecnologías de la información y comunicaciones que resulta de utilizar un criptosistema adecuado para los requerimientos de protección de la información y de su correcto empleo.

La información y materiales criptológicos, utilizados para garantizar la seguridad

criptológica, por su naturaleza y por las implicaciones de su revelación no autorizada, deben estar controlados y ser manejados conforme a reglas y procedimientos más restrictivos que los utilizados para el resto de la información clasificada.

El comprometimiento de un criptosistema conlleva que toda la información que ha sido

protegida con el mismo queda igualmente comprometida, constituyendo, por tanto, un perjuicio mucho más grave.

Consecuencia de ello es que, estos criptosistemas son objetivo principal de los servicios

de inteligencia contrarios o enemigos. En este sentido, siempre debe tenerse en cuenta que el elemento más vulnerable de un criptosistema y sobre el que se ejercen la mayoría de las acciones de ataque lo constituyen las personas que manejan dicho criptosistema. Por este motivo, es fundamental que las mismas estén adecuadamente instruidas en la importancia de lo que manejan y conozcan los peligros a los que se está sometido, así como las responsabilidades inherentes al cargo desempeñado.

Para alcanzar la seguridad criptológica es necesario:

a. Contar con una estructura u organización responsable del funcionamiento de los procesos asociados a la seguridad criptológica.

b. Tener definida la jerarquía de responsabilidades para los asuntos criptológicos.

c. Planificar y ejecutar ejercicios periódicos de instrucción para cerciorarse de que el

personal de cifra y operadores de criptosistemas manejan perfectamente los sistemas disponibles, incluso de los que raramente se hace uso.

d. Contar con elementos adecuados de seguridad física del material de cifra.

e. Instalar y mantener los equipos en las debidas condiciones y de conformidad con los

procedimientos prescritos.

f. Empleo exclusivo de personal de la máxima confianza y lealtad, y cuidadosamente instruido y examinado en cuanto a su pericia en el empleo de los sistemas de cifra antes de que se les permita operar con el equipo.

g. Constante alerta del personal sobre la importancia de la seguridad y las normas que se

espera que sigan.

- Pág. 72 de 97 -

EL MATERIAL DE CIFRA

El material de cifra puede agruparse en las tres categorías principales siguientes:

a. Material de claves. Incluye todas las cintas de clave, sistemas de códigos, sistemas de autenticación y demás tipos de claves que deben cambiarse a intervalos previamente determinados y se emplean directamente en el proceso de cifrado y descifrado. Dentro del material de claves se puede distinguir entre:

- Claves de Alto Nivel: son aquellas claves con grado de clasificación

“RESERVADO o equivalente” o superior. - Claves de Bajo Nivel: son aquellas claves con grado de clasificación

“CONFIDENCIAL o equivalente” o inferior.

b. Equipo de CIFRA. El término equipo de CIFRA significa cualquier equipo o programa empleado para proteger la información transmitida a través de un sistema de telecomunicación, o manejada en un sistema de información, convirtiéndola en ilegible y volviendo a convertirla a su forma original. Además del equipo de CIFRA básico, esta categoría incluye los siguientes:

(1) Equipo auxiliar de CIFRA que se emplea en unión del equipo básico para facilitar

una operación eficaz, pero que no puede realizar por sí mismo una función de cifrado.

(2) Equipo de producción de CIFRA, empleado en la generación, fabricación y prueba

del material de claves. (3) Equipo de autenticación, diseñado para facilitar protección contra la transmisión

fraudulenta o para establecer la validez de un mensaje, remitente o sistema de telecomunicación.

(4) Algunos equipos auxiliares constituyen un artículo esencial en una instalación

criptológica, pero no caen estrictamente dentro de la definición de equipo auxiliar de CIFRA y precisan de manejo o controles especiales para proteger ciertas características especiales de seguridad, pudiendo ser manejados de la misma forma que el equipo auxiliar por motivos de conveniencia, por ejemplo, el equipo que cuente con protección TEMPEST.

c. Publicaciones. Esto incluye toda la documentación asociada a un sistema de cifra,

como son las instrucciones de funcionamiento, manuales del usuario, manuales de instalación, manuales de mantenimiento, instrucciones de seguridad de cifra y todo el restante material de cifra impreso, (a excepción del material de claves a que se ha hecho referencia en el párrafo anterior).

La marca de manejo especial "CRIPTO" se aplica a la correspondencia, mensajes,

informes, u otros documentos o materiales, que contengan información relativa a cifra, de naturaleza sensible, y que de darse a conocer a personas no autorizadas, podrían conducir o

- Pág. 73 de 97 -

ayudar a descifrar las comunicaciones cifradas. El acceso al material marcado de esta forma queda restringido a las personas que dispongan de la apropiada "acreditación" de seguridad y autorización CRIPTO.

Como orientación general, algunos ejemplos de los tipos de información que pueden

justificar la aplicación de esta marca, son los siguientes:

a. Especificaciones de seguridad de sistemas de cifra.

b. Detalles relativos a características de seguridad criptológica de naturaleza sensible, relativas al equipo y sistemas de cifra, incluyendo principios criptológicos, descripciones, fotografías, diagramas, cambios o modificaciones recomendados, etc.

c. Resultados de ensayos de seguridad en sistemas cripto.

d. Datos específicos de claves y especificaciones de normas de seguridad para la

producción del material de claves.

e. El propio material de claves.

f. Procesos y métodos de criptoanálisis.

ESTRUCTURA DE SEGURIDAD CRIPTOLÓGICA

A nivel nacional se establece en el artículo 1 del Real Decreto 421/2004, de 12 de marzo, por el que se regula el Centro Criptológico Nacional, que:

“El Secretario de Estado Director del Centro Nacional de Inteligencia, como Director del Centro Criptológico Nacional (CCN), es la autoridad responsable de coordinar la acción de los diferentes organismos de la Administración que utilicen medios o procedimientos de cifra, garantizar la seguridad de las tecnologías de la información en ese ámbito, informar sobre la adquisición coordinada del material criptológico y formar al personal de la Administración especialista en este campo. En este sentido, el Director del CCN es la autoridad de certificación de las tecnologías de la información y autoridad de certificación criptológica…” Asimismo existe una Agencia de Distribución Nacional (NDA), integrada en el

Centro de Seguridad de las Tecnologías de Información y Comunicaciones (CESTIC) del Ministerio de Defensa, que se responsabiliza del control y distribución de material de cifra procedente de organizaciones y agencias internacionales (OTAN, UE, GALILEO, etc.).

En todo departamento ministerial, organismo o entidad, que maneje material de cifra,

debe existir una estructura u organización responsable de la seguridad criptológica. Esta organización se establece en los siguientes niveles:

a. Autoridad de Control de Material de Cifra (ACMC). Es el máximo responsable

único en cada departamento ministerial, organismo principal o Cuartel General, del registro, contabilidad y seguimiento de todo el material de cifra creado y utilizado bajo

- Pág. 74 de 97 -

su responsabilidad para la protección de la información, estableciendo los procedimientos adecuados.

b. Órgano de Distribución de Material de Cifra (ODMC). Da servicio a la ACMC. Se

constituirá en cada departamento ministerial, organismo principal o Cuartel General, que cuente con una ACMC. Tiene los siguientes cometidos:

- Generación y confección de claves. - Establecimiento de periodos de vigencia de las claves.

- Distribución y control de claves.

- Control de los procesos de introducción, utilización y destrucción de las claves.

c. Cuentas de cifra. Órganos donde se custodia, controla y distribuye el material de cifra

asignado a un determinado organismo o entidad. Se constituyen tantas como sean necesarias para el correcto control y manejo del material de cifra. Podrán adoptar una estructura jerarquizada.

d. Criptocustodio y alterno. Se nombrarán como responsables, titular y suplente,

respectivamente, en cada cuenta de cifra de que disponga un organismo o entidad.

e. Usuarios de material de cifra. Responsables últimos del manejo de material de cifra. Normalmente estarán encuadrados en centros de comunicaciones, centros de cifra, centros de procesos de datos, etc. En determinadas instalaciones, especialmente donde existe un número elevado de

sistemas de información y comunicaciones con criptosistemas asociados (como puede ser un CECOM), existe la figura del oficial COMSEC, o en algunos casos oficial INFOSEC, que se responsabiliza de la explotación de todo el material de claves en dicha instalación. Incluso, existen en determinadas ocasiones centros de cifra, donde se centraliza toda la operación de cifrado y descifrado dentro de un CECOM. Cuando así lo estime el mando, este cargo podrá asumir las funciones de criptocustodio. Si existen ambas figuras, las responsabilidades, de uno y otro, deben estar plenamente definidas y separadas.

Con independencia de toda esta estructura, los mandos y responsables de los

departamentos ministeriales, organismos o entidades en que se constituyen estas figuras, son los responsables de la seguridad criptológica, por lo que en todo momento velarán porque cumplan adecuadamente con sus cometidos y designarán para dichos puestos a personal con formación y de fiabilidad reconocida.

En general, unos y otros, cada uno en su función, serán responsables de:

a. Solicitar la apertura de cuentas de cifra.

b. Relacionarse con las autoridades responsables de la generación y distribución de claves, en su ámbito.

- Pág. 75 de 97 -

c. Recibir, custodiar, gestionar, controlar, distribuir y, en su caso destruir, el material de cifra.

d. Instruir a los usuarios para el manejo de material de cifra.

e. Auditar la utilización del material de cifra a su cargo.

f. Gestionar los incidentes de seguridad relativos al material de cifra a su cargo.

g. Coordinar sus actuaciones con el servicio de protección de información clasificada del

que dependan.

APERTURA DE CUENTAS DE CIFRA

Una cuenta de cifra entendida como órgano y no como lista de activos disponibles a cargo, es un elemento formalmente constituido, que dispone de personal cualificado, instalaciones y medios, y que, sobre la base del exacto cumplimiento de unos procedimientos establecidos, es responsable de la custodia, manejo, protección y contabilidad del material de cifra.

Cada cuenta de cifra dará servicio a un determinado estamento (organismo, centro,

unidad, instalación, empresa o grupo de empresas). El mando (jefe o director) de dicho estamento es el responsable de la adopción de todas las medidas necesarias para alcanzar y mantener la seguridad de todo el material de cifra dentro de su jurisdicción y, por tanto, será quien determine si debe establecerse o no una cuenta de cifra, delegando, normalmente, en el criptocustodio para el ejercicio de las funciones que se deriven de su establecimiento. De dicha cuenta principal dependerán las cuentas de cifra subordinadas que se establezcan en unidades dependientes de dicho organismo, centro, etc.

Cuando se haya tomado la determinación de que es preciso crear una cuenta de cifra en

una ubicación nacional (dentro del territorio nacional, en plaza de soberanía, o en recinto de embajada), el mando de la organización presentará una petición formal a la autoridad que sea competente en la materia, en conformidad con la normativa por la que se rija. Normalmente, se debe incluir la siguiente información:

a. El título corto y la dirección completa de la organización que precisa la cuenta de cifra.

b. Los artículos concretos de material de cifra, y la fecha en que se desea disponer de

ellos.

c. El propósito (justificación) para la creación de una cuenta de cifra.

d. La aprobación por parte de la autoridad competente del plan de protección (constituido por el informe de instalaciones, los procedimientos de seguridad y plan de emergencia), del local donde se ubicará físicamente la cuenta de cifra.

e. Los nombres y rango o cargo de las personas expresamente habilitadas por la autoridad

competente, para los cometidos de criptocustodio y alterno criptocustodio.

- Pág. 76 de 97 -

f. Modelo de la firma del criptocustodio y del alterno criptocustodio validada por el mando de la unidad. Si la cuenta de cifra se solicita para una entidad u organismo civil, se considera mando

al cargo que ejerza funciones equivalentes. El oficial responsable de seguridad del organismo o entidad a la que pertenece la cuenta

de cifra, inspecciona las medidas de seguridad física adoptadas en las instalaciones de dicha cuenta de cifra e informa a la autoridad competente del estado en que se encuentran.

Una vez comprobado que el informe de inspección realizado por el oficial responsable

de seguridad es favorable y que las habilitaciones del personal responsable de la cuenta de cifra son adecuadas, la autoridad competente registra la apertura de la cuenta de cifra y el nombramiento del criptocustodio y del alterno criptocustodio.

Cada cuenta de cifra podrá mantener abiertas cuentas de activos (material de cifra) con

diferentes órganos de distribución de material de cifra (ODMC). En este caso se mantendrá la separación física entre unas y otras, custodiándose en contenedores diferentes.

Un ejemplo puede ser una cuenta de cifra en un escuadrón aéreo que tiene material de

claves y equipos de cifra de OTAN, de su propio Ejército y de la Armada. La misma cuenta de cifra tiene tres cuentas abiertas, una con cada estamento mencionado, y con las que mantiene relación y ejecuta los procesos específicos de cada uno relativos a su material de cifra.

PERSONAL RESPONSABLE

PERSONAL CRIPTO

El personal criptocustodio y las personas que en el curso normal de sus funciones necesiten tener acceso regular a soportes de claves de alto nivel, y su documentación correspondiente, tendrán la habilitación en grado adecuado al material que vayan a manejar. No obstante, la normativa cripto internacional (OTAN, UE, etc.) establece que cuando se maneje un alto número de claves diferentes de grado “RESERVADO o equivalente” (diez o más), el personal criptocustodio disponga de habilitación con grado “SECRETO o equivalente”.

Debido a lo delicado del material de cifra y a los rígidos controles requeridos, el

criptocustodio y su alterno deben estar dotados de cualidades ejemplares. El mando está obligado a seleccionar cuidadosamente el personal para cerciorarse de que las personas escogidas cumplen con los siguientes requisitos:

a. No han sido destituidos con anterioridad de las obligaciones de criptocustodio por

razones de negligencia o falta de cumplimiento de sus deberes.

b. Se trata de personas responsables, cualificadas para asumir las obligaciones y responsabilidades de un criptocustodio.

- Pág. 77 de 97 -

c. Están en un cargo o nivel de autoridad que les permite ejercer la debida jurisdicción en el cumplimiento de sus responsabilidades.

d. Están en un destino que les permite una permanencia en el mismo (que no sea inferior a

un año), ya sea como criptocustodio o alterno, reduciéndose con ello la posibilidad de una sustitución frecuente.

e. Están cumpliendo básicamente con la función de criptocustodio día a día. El cargo de

criptocustodio o de su alterno no se asumen solamente con el fin de mantener control administrativo o de gestión de las funciones de contabilidad.

f. No se les podrán asignar obligaciones que interfieran con sus obligaciones como

criptocustodio y alterno. El personal nombrado como criptocustodio deberá tener la categoría de oficial,

suboficial o personal civil de categoría equivalente.

INSTRUCCIÓN DEL CRIPTOCUSTODIO Y DEL ALTERNO CRIPTOCUSTODIO

Antes de la presentación de una solicitud de una cuenta de cifra, el mando se asegurará de que tanto el criptocustodio, como el alterno, están completamente familiarizados con los requisitos del presente documento y de otros documentos relacionados, que les sean de aplicación.

RESPONSABILIDADES Y OBLIGACIONES DEL CRIPTOCUSTODIO

El criptocustodio será responsable de la custodia, tratamiento, protección y, cuando sea necesaria, la destrucción de todo el material de cifra clasificado a cargo de la cuenta de cifra.

También es responsable de la recepción y, cuando sea aplicable, de la distribución del

material de cifra. Además es responsable de la contabilidad, del mantenimiento de un registro exacto y puesto al día y de la preparación y el envío de todos los informes relacionados con el material de cifra a cargo de la cuenta de cifra.

A continuación se presenta una lista detallada de las responsabilidades de los

criptocustodios:

a. Recibir, acusar recibo, almacenar y manejar el material de cifra para evitar su pérdida o posible comprometimiento físico.

b. Asegurarse de que el material de cifra es enviado solamente a personas debidamente

acreditadas o autorizadas individualmente cuyas obligaciones lo requieren y asesorarles sobre la responsabilidad que tienen sobre la debida protección y control del material de cifra que obre en su poder.

c. Mantenerse informados de cualesquiera requisitos nuevos o modificaciones a los ya

existentes que el criptocustodio debe mantener

- Pág. 78 de 97 -

d. Preparar y remitir todos los informes de contabilidad necesarios, relativos al material de cifra.

e. Mantener un inventario de material de cifra y los correspondientes archivos, incluyendo

un inventario al día. Registro de artículos de todo el material de cifra, tanto registrado como sin registrar, su ubicación o destrucción.

f. Comprobar físicamente el inventario y preparar y cursar los informes pertinentes.

g. Efectuar la destrucción rutinaria o en emergencia, así como la disposición oportuna del

material de cifra, en la forma necesaria.

h. Preparar y cursar los informes oportunos relativos al material de cifra

i. Inspeccionar la envoltura protectora o empaquetado del material de cifra durante la recepción inicial, durante cada uno de los inventarios y antes de su uso, para asegurarse de su integridad.

j. Trabajar con el oficial COMSEC (INFOSEC) del usuario, si no ejerce él mismo esta

función, para asegurarse de que existe una necesidad continua de una clave específica y, en caso de que esta necesidad no existiera ya, recomendar a la autoridad de contabilidad que la cuenta de cifra sea dada de baja para la distribución de dicha clave específica.

k. Efectuar con prontitud y precisión todas las enmiendas en las publicaciones de cifra

empleadas por su organización. Cuando no están anotadas de entrada, las enmiendas se distribuirán a los usuarios junto con las publicaciones para que se efectúe dicha anotación.

l. Asegurarse de que todas las comprobaciones de páginas exigidas, son realizadas en

todo el material de claves y en todas las publicaciones cuando se reciban, devuelvan mediante recibo en mano, o sean transferidas o destruidas. Las comprobaciones de páginas deben también realizarse cuando se produzca un cambio de criptocustodio y cuando se publiquen enmiendas que impliquen la sustitución de páginas. Todo el material de cifra, a excepción de las claves, será comprobado en lo que respecta a su paginado, al menos una vez al año.

m. Emitir o transferir el material de cifra tal como se disponga a las cuentas de cifra o a las

personas autorizadas. Si el material es clasificado, verificará que los individuos tienen una habilitación personal de seguridad de grado apropiado al material. Cuando se emita o transfiera el material, se exigirá un recibo firmado por el criptocustodio de la cuenta de cifra, o un recibo en mano, igualmente firmado por la persona que reciba el material. Los usuarios de recibos en mano deberán ser informados de su responsabilidad en la protección y salvaguarda del material hasta que éste sea devuelto al criptocustodio. Si el material ha de ser destruido por el usuario que lo recibió en mano, dicho usuario será también advertido de los requisitos exigidos para la destrucción.

n. Iniciar procedimientos organizativos para asegurar que las personas no abandonen la

organización sin antes devolver o destruir el material COMSEC que se les envió o que les fuera entregado mediante recibo en mano.

- Pág. 79 de 97 -

o. Estar enterados en todo momento de la localización de cualquier artículo de material de

cifra contabilizable, incluido en la cuenta de cifra y del propósito general para el que se emplea.

p. Estar familiarizado con los planes actuales para la destrucción, disposición, evacuación

o protección del material de cifra en caso de incendio, desastre u otra emergencia.

q. Establecer procedimientos para asegurar el estricto control de todos los artículos del material de claves, siempre que los requisitos operativos precisen que el material sea entregado de un turno de trabajo a otro, o de una persona a otra.

r. Informar de inmediato al mando de cualquier comprometimiento físico conocido o

sospechado, pérdida o destrucción/disposición no autorizadas de material de cifra. Al recibir tal notificación, el mando, presentará un informe detallado de los hechos conocidos.

s. Destruir el material de claves y demás material de cifra, en cuanto sea necesario, de

acuerdo con los métodos de destrucción acordados y preparar el informe de la destrucción.

RESPONSABILIDADES Y OBLIGACIONES DEL ALTERNO CRIPTOCUSTODIO.

El alterno criptocustodio no comparte las responsabilidades del material de cifra con el criptocustodio; cuando éste se halla presente es el único responsable. En ausencia del criptocustodio, el alterno asume todas las responsabilidades y obligaciones relacionadas con el material de cifra a cargo de la cuenta de cifra.

La persona nombrada alterno de un criptocustodio será responsable de asistir al titular

en el cumplimiento de sus obligaciones y de facilitar la continuidad de las operaciones en ausencia del criptocustodio. El criptocustodio alterno no comparte la responsabilidad del material con el criptocustodio titular. Cuando se encuentre presente, el criptocustodio es plenamente responsable. Las obligaciones específicas del alterno criptocustodio son las siguientes:

a. Estar informado de la actividad cotidiana de la cuenta de cifra, con el fin de asumir las

obligaciones del criptocustodio titular, siempre que sea necesario, sin que se produzca una interrupción indebida de las operaciones.

b. Realizar las obligaciones descritas anteriormente para el criptocustodio, durante las

ausencias temporales del mismo.

c. Asegurarse de que los inventarios son firmados y debidamente atestiguados, en ausencia del criptocustodio.

d. Realizar las obligaciones indicadas anteriormente, en caso de un cese repentino,

abandono permanente o ausencia no autorizada del criptocustodio, antes del nombramiento de un nuevo criptocustodio.

- Pág. 80 de 97 -

RESPONSABILIDADES DEL OFICIAL COMSEC (INFOSEC)

En cada escalón de mando y dentro de los organismos usuarios, el mando es responsable de mantener la seguridad en los sistemas de información y comunicaciones, así como del control de cualquier área en la que se almacene o manipule material de cifra. Para ayudar en el cumplimiento de estas responsabilidades, el mando nombrará personas responsables para cumplir las obligaciones de oficial COMSEC o INFOSEC. Un oficial COMSEC (INFOSEC) puede actuar también como criptocustodio.

El oficial COMSEC (INFOSEC) es responsable de servir como asesor del mando en

todos los asuntos relacionados con la explotación del material de cifra en las instalaciones de su responsabilidad, incluyendo, cuando sea también el responsable de seguridad de la zona, la seguridad física del material de cifra, inspecciones y puesta en práctica de las restantes medidas de seguridad.

El oficial COMSEC (INFOSEC) tiene a su cargo las siguientes obligaciones para

asegurar el funcionamiento seguro, exacto y eficaz en sus instalaciones:

a. Trazar los procedimientos operativos normales que especifiquen la manera en que los mensajes deben ser cursados y procesados a través del centro de cifra y definir otros varios procedimientos que pudieran ser de aplicación.

b. Asegurarse de que todo el material clasificado y material de cifra son debidamente

manipulados y protegidos.

c. Asegurarse de que todo el equipo de cifra se mantiene en las debidas condiciones de funcionamiento.

d. Asegurarse que las violaciones de la seguridad tanto física como de cifra son

debidamente informadas.

e. Adoptar precauciones para limitar el acceso a los mensajes clasificados como SECRETO (así como al material de claves empleado para tal tráfico) dentro de los centros de cifra, a aquellas personas autorizadas para el acceso a dicho grado.

f. Preparar las instrucciones de funcionamiento para la destrucción rutinaria de material

de cifra.

g. Asegurarse de que el personal está entrenado en lo que se refiera a sus obligaciones en relación con el plan de emergencia y cerciorarse de que los suministros y equipo necesarios están disponibles para dar cumplimiento al plan.

h. Informar sobre los requisitos para redactar los mensajes, así como de los que deben

cumplirse cuando los mensajes se desclasifican; solicitar a los que preparan los borradores que introduzcan las modificaciones pertinentes en la clasificación de los mensajes o en su prioridad, según proceda.

i. Asegurarse de que el personal se encuentra presente en el centro de cifra durante todo

su tiempo de operación, debiendo dicho personal estar cualificado para cumplir las instrucciones precedentes.

- Pág. 81 de 97 -

j. Facilitar y supervisar la instrucción de todo el personal relacionado con el material de

cifra; cerciorarse de que todos están familiarizados con las instrucciones aplicables a los sistemas de cifra empleados en el centro de cifra.

k. Poner en conocimiento del mando todos los mensajes pertinentes (incluyendo los

servicios de cifra) en su cuartel general, cuando una autoridad superior haya declarado el comprometimiento de un sistema de cifra particular y ordene una revisión de los mensajes cifrados en ese sistema.

RESPONSABILIDADES DEL USUARIO DEL MATERIAL DE CIFRA

El éxito o el fracaso de la seguridad que aporta el empleo del material de cifra, descansa en el usuario del mismo. Deberá tener siempre presente que el material de cifra (equipos, soportes de claves, registros de consumo de claves, y documentos técnicos relativos a su manejo) forma parte esencial de los medios de seguridad de los sistemas de información y comunicaciones.

Toda la seguridad y la eficacia proporcionada por la excelencia del equipo y del

material, por el cuidadoso control y tratamiento dispensado por la autoridad competente y los criptocustodios hasta llegar al usuario, quedarán anulados si éste no tiene cuidado o no sigue los procedimientos establecidos para su empleo, protección y destrucción en caso necesario.

Cualquier usuario de material de cifra es directamente responsable de su protección

mientras lo tiene; garantizará que la persona a la cual entrega dicho material está autorizada para recibirlo y será responsable de cumplir en todo momento la normativa de seguridad, así como de informar a sus superiores, y al criptocustodio respectivo, de las circunstancias, sucesos, actos intencionados, y errores de operación que pudieran llevar a la revelación de la información o del material clasificados a personas no autorizadas.

ACCESO DEL PERSONAL A MATERIAL DE CIFRA - AUTORIZACIONES

SELECCIÓN E IDONEIDAD DEL PERSONAL

El material de cifra y la información criptológica de carácter sensible siempre ha sido un objetivo de la inteligencia enemiga, y existen numerosas pruebas demostrando que las personas con acceso a dicho material son los principales objetivos de ataque. Por tanto, es importante prestar especial atención a la selección del personal para realizar funciones donde se requiera autorización criptológica.

Se debe prestar la debida atención a los posibles defectos del carácter no detectados por

los procedimientos de habilitación de seguridad. Puesto que el oficial al mando tiene la responsabilidad última de la seguridad, a continuación se resume en líneas generales las normas mínimas aceptables de habilitación de seguridad del personal, necesarias para las personas que necesiten tener acceso al material de cifra.

- Pág. 82 de 97 -

HABILITACIÓN DE SEGURIDAD DEL PERSONAL El principio de ‘Necesidad de Conocer’

Es consustancial a la noción de seguridad que la divulgación de la información clasificada no sea más amplia de lo necesario para el eficaz desempeño del trabajo.

La necesidad de conocer se basa en tres principios fundamentales:

a. El conocimiento sobre los sistemas y material de cifra estará limitado a los que estén autorizados a tener tal conocimiento. No podrá revelarse información relativa a tales sistemas y material de cifra a ciudadanos o autoridades de una nación que no estén autorizados para conocerla.

b. Aquellos individuos autorizados para conocer o manejar los criptosistemas, no deberán

nunca divulgar información relativa a la seguridad criptológica a cualquier otra persona que no esté autorizada para recibir tal conocimiento. Esta prohibición permanecerá en vigor aun cuando las personas autorizadas dejen de desempeñar trabajo de cifra o de tener acceso al material de cifra.

c. La diseminación de información clasificada no será nunca más extensa de la necesaria

para el desempeño eficaz de la misión. El acceso debe quedar reducido a las personas que posean habilitación personal de seguridad de grado apropiado a la información de que se trate y que tengan una "necesidad de conocer" justificada para llevar a cabo sus obligaciones. Nadie tendrá derecho, por el sólo hecho de su categoría, nombramiento, cargo o acreditación de seguridad, para lograr acceso a la información clasificada, a menos que esté establecida una necesidad de conocer válida.

Habilitación de Seguridad

La Autoridad Nacional para la Protección de la Información Clasificada (ANPIC) es responsable de conceder habilitación personal de seguridad (HPS) a los nacionales españoles antes de autorizarles el acceso a la información clasificada como SECRETO, RESERVADO o CONFIDENCIAL, o sus equivalentes de otras organizaciones o países.

Las personas destinadas en puestos donde se maneje información clasificada

necesitarán una HPS que les será proporcionada con un certificado actualizado, declarando la máxima clasificación de información a la cual pueden acceder. Las Normas de Autoridad Nacional para la Protección de la Información Clasificada, publicadas por la ANPIC, establecen los procedimientos de habilitación hasta grado “SECRETO o equivalente” inclusive.

AUTORIZACIÓN CRIPTOLÓGICA

El principio de “necesidad de conocer” se refuerza con la utilización y aplicación de una marca de tratamiento especial CRIPTO, adicional a la correspondiente clasificación de seguridad, para indicar que el acceso se limita a las personas específicamente autorizadas para conocer información relativa a esa especialidad.

- Pág. 83 de 97 -

Por tanto, las personas que en el curso normal de sus funciones necesitan acceder a

equipos de cifra y soportes de claves, o a documentos criptológicos de naturaleza sensible, que lleven esta marca CRIPTO deben tener el correspondiente certificado de HPS y deben estar específicamente autorizadas por el oficial/cargo al mando, responsable de garantizar que esas personas son de su confianza y de probada competencia a la hora de proteger y manejar el material de cifra asignado. En esto consiste la "autorización criptológica".

Los elementos esenciales para obtener una autorización criptológica son:

a. Estar en posesión de un certificado actualizado con la adecuada habilitación de seguridad correspondiente a la clasificación de información para la cual se requiere acceso regular y constante.

b. Haber recibido la instrucción cripto, estar informado sobre la amenaza contra el

material de cifra y estar completamente familiarizados con las medidas necesarias para protegerlo. En el formulario SHPS-100 de solicitud de HPS, se registrará por escrito, en el apartado correspondiente, la impartición de la instrucción CRIPTO. El presente documento de Orientaciones es parte fundamental de dicha instrucción, como se indicaba en la introducción.

c. Cuando por alguna razón una persona deje de trabajar en funciones que necesiten una

autorización criptológica recibirá otra sesión de información y firmará un certificado de cese de compromiso, por el cual se compromete a no revelar información criptológica a personas no autorizadas.

d. Cuando una persona deje de estar desempeñando funciones criptológicas debido a

razones disciplinarias o de seguridad, se presentará un informe de las circunstancias a través de los canales adecuados.

ACCESO AL MATERIAL DE CIFRA

El personal, como se indicó anteriormente, debe ser instruido sobre la amenaza al material de cifra y estar versado en las medidas de protección pertinentes.

Los usuarios que vayan a tener acceso regular a material e información marcados como

“CRIPTO”, necesitan una HPS con la autorización formal CRIPTO. Esto debe aplicarse de forma especialmente estricta a los usuarios que tengan un acceso regular al material de cifra clasificado como “RESERVADO o equivalente” o superior (Alto Nivel).

Las personas que trabajen con material de cifra requerirán instrucción, enseñanza,

práctica y ejercicio, tanto orales como por escrito. Es menos probable que se produzcan negligencias si todo el personal de cifra es consciente de la importancia de la seguridad y de las razones por las que se espera el cumplimiento de las normas establecidas

El mando puede autorizar el acceso puntual y controlado, en situaciones operativas, al personal debidamente habilitado, pero sin autorización criptológica, a:

- Resúmenes de material de claves.

- Pág. 84 de 97 -

- Sistemas de libretas de un único uso, señales de llamada, sistemas de claves de un solo

uso y criptosistemas de bajo nivel. En casos excepcionales de necesidad operativa, los oficiales al mando incluso podrán

dejar de lado el requisito de la habilitación de seguridad para las personas que vayan a utilizar criptosistemas de bajo nivel con una clasificación no superior a “CONFIDENCIAL o equivalente”. Cuando se extinga la necesidad, el criptosistema deberá operar con personal debidamente habilitado.

PROTECCIÓN DE INSTALACIONES CRIPTOLÓGICAS

ZONAS DE ACCESO RESTRINGIDO

Todas las instalaciones fijas en que se maneje o custodie material de cifra cumplirán con unos requisitos mínimos de construcción, a los cuales se deberían añadir medidas adicionales cuando sea posible. Unos niveles mínimos nunca deberían ser el objetivo de ningún oficial COMSEC (INFOSEC) o criptocustodio meticuloso.

Las medidas de protección de las instalaciones criptológicas fijas deben estar en

consonancia con sus vulnerabilidades ante amenazas reales, tanto de infiltración abierta como encubierta. En todo caso, y en el ámbito de competencias de la ANPIC, se deberán aplicar las medidas de seguridad que se contemplan en la norma NS/03 de las Normas de la ANPIC para su constitución como zonas de acceso restringido (ZAR).

En el documento de la ONS denominado “OR-ASIP-01-02. Orientaciones para la

constitución de zonas de acceso restringido”, se describen los estándares de medidas de seguridad para la protección de zonas donde de almacena o maneja información clasificada, aprobados por la ANPIC, a aplicar según el grado de clasificación y otras condiciones que sea preciso atender.

Otras consideraciones específicas a tener en cuenta especialmente para una instalación

criptológica, son las siguientes:

a. Disponer todas las instalaciones criptológicas en el mismo lugar. En las instalaciones en las que las funciones criptológicas y las comunicaciones se llevan a cabo en el mismo área, se puede declarar todo el área como instalación criptológica, utilizándose en tal caso una puerta única para acceder al recinto.

b. Para evitar la penetración no autorizada y para mostrar las pruebas de un intento de la

misma, las instalaciones criptológicas fijas se deben construir con materiales sólidos y resistentes. Deben proporcionar la atenuación adecuada de los sonidos internos que podrían divulgar la información clasificada a través de las paredes, las puertas, las ventanas, los techos, los agujeros y conductos de la ventilación.

c. Las áreas en las cuales se maneja o almacena material de cifra deben ser declaradas

como zonas de acceso restringido (ZAR), configuradas como áreas clase I ó clase II.

- Pág. 85 de 97 -

d. Normalmente se deberá proponer a la Autoridad competente la necesidad de establecimiento de una zona de acceso restringido configurada como área clase I para el recinto donde se ubique el material a cargo de la cuenta de cifra. La entrada al área clase I implica el acceso a material de cifra clasificado existente en el

recinto, por lo que conviene recordar que solamente personal habilitado y especialmente autorizado puede ser admitido. Cuando personal no autorizado para acceder a ese material de cifra clasificado deba entrar de forma inexcusable en un área clase I, además de ser escoltado, el material de cifra quedará oculto y fuera de su alcance.

La entrada al área clase II no implica el acceso al material de cifra existente en el

recinto, por lo que conviene recordar que, además de admitir personal habilitado y especialmente autorizado, puede admitir visitas escoltadas.

La seguridad de las áreas clase I y clase II se incluirán en un entorno que habrá de

contar con una serie de medidas de protección: físicas, electrónicas y en el personal, que constituirán un perímetro de protección global contra el espionaje, penetraciones desde el exterior y filtraciones desde el interior.

Dichas medidas de protección global deberán recogerse y describirse en el plan de

protección, requeridos para el establecimiento y acreditación de la zona de acceso restringido en las que se almacene o maneje material de cifra.

Dentro del entorno global, el material de cifra deberá ocupar aquellos locales que

cuenten con las mejores condiciones para alcanzar la debida protección. Cada entorno local dispondrá de un perímetro definido, control de acceso al perímetro, detección de intrusiones fuera de la jornada laboral y mobiliario de seguridad apropiado para el material de cifra.

ALMACENAMIENTO DE MATERIAL DE CIFRA

Cuando el material de cifra clasificado está siendo manejado de forma continua en instalaciones fijas, semipermanentes o móviles, por personas debidamente habilitadas y autorizadas, se presupone que está adecuadamente protegido, siempre que se ciñan a los procedimientos establecidos.

Estos procedimientos serán los que se especifiquen en el plan de protección de la zona

de acceso restringido, procedimientos operativos de los sistemas de comunicaciones y cifra empleados, instrucciones operativas, etc. En instalaciones móviles se presupone que el personal responsable adopta las medidas de seguridad definidas y debidas para la instalación y situación concretas de que se trate.

La noción de ‘almacenamiento’ significa el uso de contenedores de seguridad, cámaras

acorazadas, alarmas, guardias, etc., para proteger la información criptológica clasificada durante las horas fuera de trabajo o actividad, o cuando no está bajo el control directo y continuo de personal autorizado y debidamente acreditado.

El material de claves de alto nivel será almacenado de acuerdo con la protección

otorgada a los materiales con grado de “SECRETO o equivalente”. La sala en la que están

- Pág. 86 de 97 -

almacenadas será una ‘instalación criptológica’, que en el ámbito de España se denomina cuenta de cifra.

Los requisitos de seguridad de la instalación se regirán por la normativa de seguridad

física que le sea de aplicación, y en su defecto, por las normas de la ANPIC. Contará con un plan de protección aprobado, y la zona estará acreditada por la autoridad competente.

En todas las instalaciones que contienen material de clave de alto nivel los

contenedores utilizados para albergar material de alto nivel estarán cerrados con llave siempre que el material de clave no esté siendo utilizado. En las instalaciones operativas de 24 horas, el contenedor podrá ser cerrado con una cerradura de llave en vez de una cerradura de combinación. Podrían ser necesarias dos cerraduras para mantener una zona "con dos personas", (no-lone), en aquellas instalaciones en las cuales al menos dos personas no están presentes continuamente. Sólo una de las llaves será utilizada y estará en posesión del supervisor del turno. La llave pasará de turno a turno cuando los materiales sean inventariados y firmados por el supervisor de turno entrante. Una segunda copia de la llave se guardará en un sobre en el contenedor maestro del criptocustodio para su uso si la llave se pierde o se rompe.

ZONA ‘ATENDIDA’ (NO-LONE)

Una actividad de distribución criptológica se define como aquélla cuyo papel principal es la distribución del futuro material de cifra a cuentas de cifra subordinadas.

Todas las actividades de distribución criptológica deben mantener el material de claves

en una zona "atendida" (no-lone). Una zona "atendida" significa la adopción de una serie de procedimientos que impidan el acceso de una persona sola al futuro material de claves. Esto no excluye a personas trabajando en otras actividades dentro de la misma área.

En el caso de otros poseedores de claves, los procedimientos de zona "atendida" deben

aplicarse sólo si se da una o más de las siguientes condiciones:

a. Una máquina reproductora de claves está situada en las instalaciones criptológicas, o bien en el caso de que un contenedor de seguridad constituya la instalación criptológica aprobada, en la misma sala.

b. Los responsables de Cuentas de cifra, o usuarios, tienen futuro material de claves.

Señalar, en tal caso, que sólo las ediciones futuras de material de claves deben estar protegidas en una zona "atendida". Esto podría conseguirse almacenando el futuro material de claves en un contenedor de seguridad independiente con dos cerraduras o en una caja sellada metida en un contenedor oficialmente aprobado. La caja sólo será abierta/cerrada cuando haya al menos dos personas presentes. Esto quedará reflejado en una hoja de inventario adjunta firmada al menos por dos personas. Además, la propia caja debe estar sellada y llevar en el sello las mismas firmas que las del inventario.

c. Si así lo ordena la autoridad competente. En tal caso, esta orden debe darse por escrito

y razonar por qué se solicita una zona "atendida", por ejemplo, debido a una contabilidad no satisfactoria, aumento de las amenazas o cualquier otra condición específica.

- Pág. 87 de 97 -

No se concederá ninguna exención de los requisitos de zona "atendida" contemplados en este apartado.

A todos los poseedores de claves se les aconseja utilizar procedimientos de zona

"atendida" en todo momento incluyendo aquellos casos en los cuales no se exige.

ALMACENAMIENTO DE EQUIPOS DE CIFRA Y ACCESORIOS

Cuando no están instalados en una configuración operativa, los componentes del equipo criptológico sin clave que no sean ECC, deben almacenarse de la misma manera que cualquier otro material de la misma clasificación.

Por equipo de cifra controlado (ECC) se entenderá aquel elemento o dispositivo que,

al no tener incorporados los elementos de cifra clasificados necesarios para su funcionamiento seguro, tendrá la consideración de equipo no clasificado. Cuando en una instalación responsable no se puede asegurar que existan las condiciones para un adecuado control y custodia de estos equipos ECC, se les obligará a darle tratamiento de CONFIDENCIAL, como forma de asegurar su correcta protección.

El equipo sin clasificación (ECC) debe ser almacenado de forma tal que sea suficiente

para impedir toda oportunidad razonable de robo, sabotaje, manipulación, o acceso no autorizado. El equipo criptológico y el dispositivo de almacenaje de clave serán almacenados una vez se les haya sido retirada la clave.

ALMACENAMIENTO A BORDO Y EN VEHÍCULOS

Cuando esté instalado en una configuración operativa, por ejemplo a bordo de un buque, un avión, vehículo, edificio, etc., el equipo criptológico sin clave, aun cuando no sea específicamente un ECC, podrá quedarse sin vigilancia siempre que esté protegido hasta un punto en el cual, a juicio del mando, sea suficiente para evitar toda oportunidad razonable de robo, sabotaje, manipulación o acceso no autorizado.

El equipo criptológico no debe ser retirado de vehículos para cumplir un requisito de

almacenaje de seguridad. La retirada frecuente de equipo criptológico y su posterior reinstalación aumenta el mantenimiento del equipo y reduce su disponibilidad operativa. Básicamente la misma protección ofrecida por los vehículos es suficiente para el equipo criptológico sin clave instalado en este tipo de instalaciones móviles, siempre que estos vehículos estén aparcados o desplegados en zonas vigiladas. Estos factores deben ser considerados por el mando en su decisión, relativa a los requisitos aceptables de seguridad y los métodos para conseguirlos.

El equipo criptológico con clave incorporada debe, además de lo descrito

anteriormente, estar protegido hasta el punto necesario para impedir su uso no autorizado o la extracción no autorizada de sus variables de clave.

- Pág. 88 de 97 -

CAJAS DE SEGURIDAD Y COMBINACIONES Restricciones al uso de las Cajas de Seguridad

Se prohíbe expresamente almacenar en cajas de seguridad, armarios de archivo u otros contenedores utilizados para el almacenaje de material de cifra, los artículos que son invariablemente objetivo de los ladrones, por ejemplo: dinero, joyas, metales preciosos, armas, drogas, etc.

Combinaciones de las cerraduras

Las combinaciones de las cerraduras utilizadas para proteger la información criptológica clasificada en zonas o contenedores de almacenaje, serán protegidas, modificadas y registradas de acuerdo con la normativa de la autoridad competente.

Los discos de las cerraduras de combinación deberían estar cubiertos de tal forma que

las operaciones se puedan hacer sin dejar huellas dactilares en el disco o botón. En caso de no contar con la cubierta, el disco se limpiará todos los días al finalizar el trabajo. Las combinaciones serán difundidas al mínimo posible de personal autorizado que cumpla los requisitos operativos establecidos por la autoridad competente.

Las combinaciones están preparadas de acuerdo con lo establecido por la autoridad

competente. Serán almacenadas de acuerdo con su clasificación en un lugar seguro que permita la entrada autorizada en caso de emergencia.

PROTECCIÓN DE MEDIOS DE CIFRA EN INSTALACIONES MÓVILES

INSTALACIONES MÓVILES/TRANSPORTABLES PARA ALMACENAMIENTO DE EQUIPOS DE CIFRA Y ACCESORIOS

Las protecciones de las que trata este apartado están concebidas principalmente para las instalaciones de sistemas de información y comunicaciones y cuentas de cifra, transportables y móviles, pero también se pueden aplicar a cualquier otra instalación transportable y móvil que contenga material de cifra clasificado (por ejemplo, instalaciones de mantenimiento criptológico transportable o un centro de distribución de claves transportable o móvil). Salvo que se haga referencia a tipos específicos de instalaciones, estas normas se aplican por igual a todas las instalaciones con material de cifra, transportables y móviles.

Las instalaciones con material de cifra, transportables y móviles, se pueden situar

dondequiera que las necesidades operativas así lo dicten. No se establecen requisitos de construcción específicos para las mismas, debido a los

distintos requisitos operativos que estas instalaciones deben cumplir. Sin embargo, se deben construir de tal forma que se impida el acceso no autorizado a las mismas o se facilite la detección de dicho acceso, en caso de producirse.

- Pág. 89 de 97 -

Las instalaciones transportables o móviles deberán disponer de un plan de protección básico que determine de forma precisa las medidas de seguridad a establecer en los despliegues operativos que se realicen, siendo el mando responsable de su adaptación a cada situación operativa presente.

Aprobación, inspección y prueba de las instalaciones transportables y móviles

Generalmente no es necesaria la aprobación de las instalaciones transportables y móviles. El único requisito de inspección allí solicitado es la comprobación diaria de seguridad.

Sin embargo, si una instalación transportable o móvil continúa operativa en un lugar

fijo durante un período de seis (6) meses o más, se debe considerar como una instalación fija y se aplicarán los requisitos de las aprobaciones, inspecciones y pruebas de las instalaciones descritos para éstas.

Almacenamiento del material de cifra en instalaciones transportables y móviles

El material de cifra se almacenará en instalaciones transportables y móviles de acuerdo con los requisitos de la autoridad competente, con los requisitos complementarios siguientes:

a. Las cajas de seguridad deben estar firmemente unidas a la instalación.

b. Las tenencias de material de cifra se limitarán a las que sean necesarias operativamente

para desempeñar los requisitos de la misión. Normalmente, no se debe guardar más de una edición del material de clave.

c. No se llevarán en las instalaciones transportables y móviles los manuales completos de

mantenimiento (nivel de depósito).

PROTECCIÓN DE LAS INSTALACIONES MÓVILES DESATENDIDAS

Cuando las instalaciones con material de cifra, transportables y móviles, deban quedar desatendidas durante un tiempo, normalmente se retirarán el material de clave y las publicaciones clasificadas, se cerrarán las instalaciones y se protegerán contra el acceso no autorizado. Debido a las distintas estructuras de estas instalaciones (por ejemplo, furgonetas, aviones, y vehículos abiertos), no se pueden fijar unos criterios normalizados para su protección.

En general, si las instalaciones se encuentran dentro de una estructura sólida (por

ejemplo, una furgoneta o contenedor de equipos), todos los puntos de acceso distintos de la puerta de entrada se cerrarán desde el interior de la instalación móvil y la puerta de entrada se protegerá con una cerradura aprobada. Cuando esto no sea factible (por ejemplo, en un vehículo abierto o en un avión), se utilizará una barra de cierre aprobada u otro dispositivo de cierre para evitar la supresión o la manipulación del equipo de cifra. Además, las instalaciones de material de cifra transportables y móviles desatendidas se protegerán en todo momento de acuerdo con lo siguiente:

- Pág. 90 de 97 -

a. Cuando las instalaciones contienen material de claves o equipo de cifra con claves, se emplearán guardias debidamente habilitados. El empleo de guardias armados es responsabilidad del mando, a requerimiento del responsable de seguridad. Para instalaciones en territorio nacional controlado es suficiente con establecer rondas de seguridad frecuentes, siempre que se haya evaluado el riesgo de asumir esta decisión.

b. Cuando las instalaciones no contengan material de clave y sólo contengan equipo de

cifra sin claves, no será necesario que los guardias estén habilitados. Las rondas podrán ser menos frecuentes, pero nunca dejar de existir.

PÉRDIDA O SOSPECHA DE COMPROMETIMIENTO

Se produce un comprometimiento físico cuando el material de cifra es, deliberada o accidentalmente, puesto a disposición de personas no autorizadas por pérdida, robo, captura, espionaje, recuperación, deserción de personas, observación, fotografía o cualquier otro medio. Toda sospecha de comprometimiento físico de material de cifra debe ser informada de inmediato al oficial COMSEC (INFOSEC) o al criptocustodio, los cuáles, a su vez, lo notificarán al mando, presentando un informe de sospecha de comprometimiento.

Es esencial que cualquier sospecha de comprometimiento sea informada

inmediatamente, de forma que pueda tomarse una rápida acción para limitar la pérdida de seguridad producida; por ejemplo, el material de claves puede ser anulado y sustituido, revisado su tráfico y tomarse medidas para limitar el daño.

Cuando falte un artículo o documento, existe la posibilidad de que haya sido

accidentalmente destruido con otros artículos o documentos cuya destrucción hubiera sido autorizada. Sin embargo, a menos que tal destrucción pueda ser confirmada, más allá de toda posible duda, deberá informarse como sospechoso de comprometimiento, cualquier artículo que no pueda ser contabilizado satisfactoriamente, para poder tomarse la acción oportuna con la mayor brevedad.

TRANSPORTE DE MATERIAL DE CIFRA

MEDIOS DE TRANSPORTE

Son de aplicación los criterios generales para el transporte de información clasificada del mismo grado de clasificación, aunque se extremarán las medidas de protección aplicadas.

El envío de material y correspondencia de cifra marcados CRIPTO se hará a través de

un correo oficialmente nombrado como tal por la autoridad competente o por otros medios aprobados por la autoridad, mando o servicio nacionales. Cuando se empleen otros medios de transporte aprobados, es responsabilidad del organismo remitente asegurarse de lo siguiente:

a. Que los medios de transporte empleados se encuentran bajo control total de naciones

aliadas o con acuerdo de seguridad vigente con España.

- Pág. 91 de 97 -

b. Que el material es abierto solamente por personas autorizadas para el acceso a la información de cifra.

c. Que el material no es en ningún momento objeto de inspección (incluyendo la de

aduanas) o censura.

d. Que existen medidas seguras para la entrega, recibo y almacenaje. Cuando exista trasbordo, se adoptarán cuidados especiales para asegurarse de que se emplean canales seguros y que existen instalaciones de almacenaje seguras en cada uno de los puntos de trasbordo. A ser posible, no se asignarán otras misiones a los correos autorizados nombrados

oficialmente durante un transporte. Si se les confirieran otras obligaciones, éstas deberán ser secundarias y no interferirán con sus deberes y responsabilidades como correos autorizados.

Los organismos expedidores instruirán completamente a sus correos autorizados sobre

la necesidad y los medios de proteger continuamente el material que se les confía. En estas instrucciones se incluirán los métodos apropiados para destruir el material en caso de una emergencia. Por ejemplo, si fuera inminente la captura o comprometimiento no autorizado del material y esta circunstancia no pudiera ser evitada, si el tiempo y las circunstancias lo permiten, el mensajero destruirá el material quemándolo, rompiéndolo hasta hacerlo totalmente irreconocible (sólo en caso de que sea imposible la quema), o, en caso de estar a bordo de un barco, arrojándolo en aguas profundas debidamente lastrado.

Los correos autorizados informarán inmediatamente sobre la destrucción o disposición

en emergencia a los organismos remitente o destinatario (según resulte más conveniente), por teléfono o enviando un mensaje.

CORREOS AUTORIZADOS

Los correos autorizados de material de cifra deben ser nombrados específicamente por escrito por la autoridad competente. Es responsabilidad del funcionario que autorice a los correos autorizados que éstos dispongan de la oportuna "acreditación" de seguridad, que sean de la máxima confianza y hayan sido adoctrinados sobre sus responsabilidades en la protección del material que se les confía. Los correos autorizados recibirán instrucciones concretas para casos de emergencia, incluyendo la posibilidad de pérdida o comprometimiento del material que transporten.

Cuando transporten material de claves, deberán mantener personal y constantemente su

custodia. Cuando transporten material de cifra que no sea de claves, los correos autorizados son

responsables de la seguridad del mismo en todo momento. También podrán almacenar el material en bloque en un contenedor cerrado con llave, siguiendo el procedimiento de hacer las entregas del material más reciente en primer lugar.

Los correos autorizados deben asegurarse que se presta al material la máxima

protección posible durante el tránsito, no dejándolo desatendido en ningún momento en

- Pág. 92 de 97 -

muelles de carga, andenes de estaciones, consignas zonas de almacenaje de carga, depósitos de equipajes, autobuses, trenes o aviones.

Los correos autorizados deberán asegurarse de que todas las inspecciones se realizan en

su presencia y solamente por personal autorizado para ello. Se permite el examen externo y el empleo de los equipos normales de rayos X empleados en los aeropuertos para revisión del equipo y del material de claves empaquetados.

REQUISITOS DE SEGURIDAD DURANTE EL TRANSPORTE

Con el fin de reducir las posibilidades de comprometimiento físico y disminuir los efectos de la pérdida o comprometimiento de un transporte, todos los envíos de material de cifra, en condiciones normales, se harán de conformidad con los siguientes requisitos mínimos de seguridad:

a. El equipo de cifra no será enviado con el material de claves instalado, a menos que la

configuración física del equipo haga imposible la retirada de la clave o su puesta a cero.

b. Los componentes de un sistema (por ejemplo, equipo de cifra, claves, e instrucciones de funcionamiento) se transportarán por separado y, siempre que sea posible, en diferentes fechas.

RECIBO DE MATERIAL DE CIFRA

A la entrega de material de cifra, el criptocustodio del mismo examinará cuidadosamente el paquete en busca de evidencia de manipulación o exposición de su contenido. Si existiera alguna evidencia, se preparará un informe de posible comprometimiento o violación. En espera de la acción oportuna por la autoridad de investigación, el envío permanecerá en el mismo estado que cuando se descubrió la evidencia de manipulación y todo manejo del mismo se reducirá al mínimo compatible con la salvaguarda del envío.

Los paquetes recibidos por cualquier persona que no sea el Criptocustodio, serán

entregados a éste sin abrir.

- Pág. 93 de 97 -

ANEXO IV: INSTRUCCIÓN DE SEGURIDAD ATOMAL Se adjunta un documento separable al objeto de que pueda desglosarse o copiarse como manual de instrucción del personal, separado del presente documento que es para uso exclusivo de los instructores. Es requisito obligatorio el que, antes de recibir esta instrucción de seguridad ATOMAL, el usuario haya recibido la concienciación de seguridad y la instrucción de seguridad, relativas a la protección de la información clasificada.

- Pág. 94 de 97 -

INSTRUCCIÓN DE SEGURIDAD ATOMAL

DEFINICIÓN

Se entiende por información ATOMAL aquella categoría especial de información, suministrada por el Gobierno de los Estados Unidos a otras naciones miembros de la OTAN, o bien, información “ATOMIC” del Reino Unido que es suministrada por este Gobierno a otras naciones miembros de la OTAN, con objetivos operacionales, de formación o de industria de armamentos.

Esta información es relativa a armas atómicas e información de carácter atómico, y se

manejará al amparo y conforme al Acuerdo entre las Partes del Tratado del Atlántico Norte para la Cooperación sobre Información Atómica, de 18 de junio de 1964, recogido en el documento C-M(64)39, y complementado mediante los acuerdos administrativos recogidos en el documento C-M(68)41-REV7 ( o versión posterior que pueda editarse).

De ambos documentos deberá hacer una lectura detallada el solicitante de la

especialidad, como parte de su instrucción de seguridad ATOMAL, especialmente si va a ocupar puestos de responsabilidad en dicha materia.

Todos los documentos ATOMAL son información clasificada controlada, es decir, debe

circular sólo por los órganos de registro, y llevarse registro de sus movimientos y existencia. Asimismo, los documentos ATOMAL con grado COSMIC TOP SECRET y NATO SECRET, y aquellos NATO CONFIDENTIAL sobre los que se hayan impuesto limitaciones especiales, se consideran documentos “imputables”, por lo que se debe llevar control de los accesos que se producen a los mismos, mediante el uso de la ficha de control y acceso a información clasificada, que siempre acompañará a estos documentos.

ACCESO Y MANEJO DE LA INFORMACIÓN ATOMAL.

CONDICIONES DE ACCESO

Una persona sólo podrá ser autorizada a acceder a la información clasificada de grado NATO CONFIDENTIAL o superior, y marcada como ATOMAL, cuando se hayan cumplido los siguientes requisitos:

- le haya sido concedida una habilitación personal de seguridad adecuada no sólo del

grado de la información clasificada, sino también con la especialidad ATOMAL, - se haya determinado su “necesidad de conocer” información ATOMAL y - haya recibido la instrucción de seguridad preceptiva .

Nadie podrá tener acceso a información clasificada como ATOMAL únicamente en

virtud de su rango, posición o habilitación personal de seguridad.

- Pág. 95 de 97 -

El acceso a una determinada información ATOMAL estará determinado por el grado de habilitación del usuario y por su necesidad de conocer dicha información. Sobre esta base, el Registro Central ATOMAL, subregistros y puntos de control ATOMAL mantendrán un listado actualizado de los usuarios que tengan acceso a información ATOMAL, especificando aquellos que tienen acceso autorizado a información ATOMAL sujeta a limitaciones especiales.

Cuando cese la necesidad de acceso a la información ATOMAL, el órgano de control

mantendrá una entrevista con el interesado al objeto de señalar la continuación de las responsabilidades de protección de la información ATOMAL a la que tuvo acceso. Tras la instrucción el interesado firmará un “certificado de cese de compromiso”

INFRAESTRUCTURA DE PROTECCIÓN DE LA INFORMACIÓN ATOMAL

El control de la información ATOMAL en España se lleva a cabo del mismo modo que el resto de la información clasificada OTAN, es decir, a través de un registro central, subregistros principales y secundarios y puntos de control, todos ellos autorizados a ATOMAL. Cada órgano de control ATOMAL deberá nombrar un oficial de control ATOMAL, que será el responsable del control y custodia de toda la documentación ATOMAL que tiene asignada dicho órgano de control.

Como norma general la información ATOMAL deberá entrar o salir de España a través

del Registro Central ATOMAL, siendo éste responsable de su control y canalización a través de la red.

La documentación clasificada de grado COSMIC TOP SECRET ATOMAL (CTS-A)

circulará siempre a través del Registro Central. La documentación clasificada de grado NATO SECRET ATOMAL (NS-A) y NATO

CONFIDENTIAL ATOMAL (NC-A) podrá circular entre subregistros principales con autorización ATOMAL directamente, informando de ello al Registro Central. También podrá circular entre puntos de control dependientes de un mismo subregistro principal, informando a su órgano de control de nivel superior de los movimientos producidos.

Si, excepcionalmente, un usuario recibiera información ATOMAL por alguna otra vía

distinta a las anteriormente descritas (Sistema CIS, correo OTAN, reunión OTAN, etc.), éste la entregará al órgano de control ATOMAL del que dependa el cual, a través de su subregistro principal ATOMAL, lo hará llegar al Registro Central ATOMAL para el correspondiente registro y control.

CUSTODIA Y MANEJO DE LA INFORMACIÓN ATOMAL

La información ATOMAL se almacenará de forma separada al resto de los documentos clasificados de la Alianza y dentro de una zona de acceso restringido establecida como área clase I o área clase II. Esta separación no tiene por qué significar una zona de acceso restringido específica, salvo que por criterios de segregación de accesos se decida que sean personas diferentes las responsables de cada tipo de información. Lo normal es que sea suficiente con el uso de contenedores separados, que pueden estar incluso dentro del mismo mueble o caja de seguridad.

- Pág. 96 de 97 -

Como norma general, la información ATOMAL no podrá permanecer fuera del

subregistro o punto de control al margen de la jornada laboral del usuario, salvo autorización expresa del oficial de control ATOMAL.

Las copias, traducciones y extractos de documentos ATOMAL serán contabilizados en

la misma forma que el documento original, se les asignará un número de documento, fecha, y tendrán su mismo grado de clasificación.

Los documentos CTS-A no podrán ser reproducidos por ningún órgano de control. En

caso de necesitarse copias extras deberán ser solicitadas a la nación que originó el documento a través del Registro Central ATOMAL.

Los oficiales de control ATOMAL de los subregistros principales ATOMAL podrán

autorizar las copias, extractos o traducciones de documentos NS-A y NC-A. Los subregistros principales ATOMAL comunicarán mensualmente al Registro Central

ATOMAL una relación de las copias, extractos y traducciones efectuadas por ellos y por sus órganos de control subordinados.

Los documentos ATOMAL sometidos a limitaciones especiales, independientemente

del grado de clasificación de los mismos, sólo podrán ser reproducidos con el consentimiento previo del gobierno de EE.UU.

Los documentos ATOMIC conteniendo información atómica del Reino Unido no

podrán ser reproducidos salvo instrucciones específicas del gobierno del Reino Unido que así lo permita.

La información ATOMAL que ya no sea necesaria a efectos oficiales, incluyendo

material sobrante, excedentes o información sustituida por actualización, será destruida de tal forma que se asegure que no pueda ser reconstruida.

MANEJO DE INFORMACIÓN ATOMAL EN SISTEMAS CIS La información ATOMAL remitida mediante sistemas CIS debe estar cifrada. Se deben tomar medidas para asegurar estos sistemas y que los puntos de transmisión y recepción de la información ATOMAL estén acreditados al máximo grado de la información que se vaya a tramitar. La información ATOMAL sólo debe ser enviada después de confirmar que el receptor tiene en vigor una HPS de nivel apropiado y con la especialidad ATOMAL, así como la pertinente “necesidad de conocer”. La información almacenada en carpetas personales o compartidas debe ser protegida mediante una contraseña de acceso.

- Pág. 97 de 97 -

LIMITACIONES ESPECIALES PARA ACCESO A INFORMACIÓN ATOMAL Determinada información ATOMAL, especialmente sensible por razones de seguridad, es cedida a la OTAN por EE.UU. bajo limitaciones especiales, que serán marcadas en cada documento que sea cedido. Así mismo, contará con una hoja anexa, que permita su correcta identificación y en la que se registrará el personal que haya accedido a dicho documento. La lista de control ATOMAL deberá indicar aquellas personas con HPS ATOMAL y que han sido autorizadas a acceder a información con limitaciones especiales. Los documentos con limitaciones especiales no requieren ser almacenados y custodiados separados del resto de la documentación ATOMAL, aunque se prestará especial atención a que sólo las personas autorizadas puedan acceder a dicha documentación durante su custodia, almacenaje, transporte, etc.

COMPROMETIMIENTOS Y BRECHAS DE SEGURIDAD Una brecha de seguridad es un acto u omisión contrario a las regulaciones de seguridad de la OTAN y que pueda poner en peligro o comprometer información ATOMAL: El comprometimiento se define como la pérdida de confidencialidad, integridad o disponibilidad, debido a una brecha de seguridad o actividad adversa (tales como espionaje, actos de terrorismo, sabotaje, etc.) de la información ATOMAL. Cualquier brecha de seguridad en la que se vea involucrada información ATOMAL deberá ser inmediatamente comunicada a la autoridad de seguridad apropiada para que sean investigadas todas las circunstancias que rodean dicha brecha de seguridad para determinar si la información ATOMAL se haya visto comprometida, si se han producido accesos no autorizados a información ATOMAL, así como para aplicar las medidas correctivas y disciplinarias (incluidas las legales) pertinentes.

OR-ASIP-02-02 - CNI€¦ · - pág. 1 de 97 - . oficina nacional de seguridad . or-asip-02-02.04....

Documents

Transcript of OR-ASIP-02-02 - CNI€¦ · - pág. 1 de 97 - . oficina nacional de seguridad . or-asip-02-02.04....